宝塔网站防火墙是怎么回事

宝塔网站防火墙（Nginx免费防火墙）不是宝塔宝塔面板自带的那个基础防火墙，而是网站需要单独安装的一个插件。它跑在Nginx层，防火靠Lua脚本拦截请求。宝塔你装完之后，网站网站流量会先经过它，防火再进PHP或静态文件。宝塔说白了，网站就是防火给每个站点加了个安检门。

我去年帮一个做外贸的宝塔朋友处理过一件事。他的网站WordPress站每天被扫几百次，wp-login.php被暴力破解，防火服务器CPU飙到90%。宝塔他之前用的网站是云服务商的安全组，只开了80和443，防火但攻击流量照样进来，因为都是正常HTTP请求。后来我给他装了宝塔防火墙，开了“CC防御”和“恶意User-Agent拦截”，当天拦截记录就刷了三千多条。他那个站访问量不大，一天也就两百IP，但攻击流量是正常流量的十几倍。

这个防火墙到底怎么工作的？它挂在Nginx的access阶段，每个请求进来先过一遍规则。规则分几类：IP黑名单、URL白名单、User-Agent过滤、Cookie校验、频率限制。频率限制最实用，比如你设成“单IP 60秒内最多请求120次”，超过就返回503。但这里有个坑，如果站点用了CDN，你得先配置好真实IP获取，否则防火墙会把CDN节点IP当成攻击源，一封就是一大片。

我见过有人抱怨防火墙“误封”。点开拦截日志一看，全是同一个IP在短时间内请求了大量图片。那其实是网站自己前端没做懒加载，用户一滚动页面就并发请求几十张图，触发了频率规则。这种情况你把静态资源后缀加到白名单里就行。防火墙的默认规则偏严格，直接开“增强模式”容易出问题，建议先跑一周“观察模式”，看看日志里哪些是误报。

另一个常见问题是和缓存插件冲突。宝塔防火墙会检查Cookie，而有些缓存插件靠Cookie判断用户登录状态。防火墙把带特定Cookie的请求拦了，用户就登不上去。解决办法是在防火墙的URL白名单里加上登录页和后台路径。别嫌麻烦，这比服务器被CC打挂强。

免费版和付费版差别在哪？免费版够用，但缺少一些高级功能，比如自定义CC规则、IP段封禁、区域封禁。付费版一年几十块钱，对个人站长来说不算贵。如果你只是防防脚本小子，免费版完全够。要是被人盯上了，上付费版加Cloudflare，两层挡着更稳。

最后说个实际数据。我自己的博客挂在那台1核2G的机器上，装了防火墙之后，Nginx的并发连接数从平均40降到了8左右。拦截日志里最多的是扫描wp-admin和xmlrpc.php的请求，这些全是自动化工具干的。普通用户根本不会去访问那些路径。所以防火墙的核心逻辑就一句话：正常用户走正常路径，异常请求直接掐掉。别指望它100%防住，但能挡掉九成以上的低级攻击，服务器负载立马下来。