宝塔开启防火墙后网站无法打开

点下“开启”按钮的宝塔那一刻，网站就注定打不开了。开启这事我遇到过不下十次，防火每次都是墙后同一个原因：宝塔面板的防火墙规则把80和443端口给拦了。

上周帮一个做外贸的网站无法朋友处理这个问题。他在宝塔面板里点了下“系统防火墙”的打开开关，然后网站就彻底没反应了。宝塔浏览器转圈，开启最后超时。防火他第一反应是墙后服务器宕机了，跑去SSH里敲命令，网站无法发现服务器活得好好的打开，Nginx也在跑，宝塔就是开启外部访问不进来。

这就是防火典型的防火墙拦截。宝塔的系统防火墙默认只放行几个基础端口，比如22（SSH）和8888（面板端口）。80和443这两个网站必需的端口，它压根没给你加进去。你开了防火墙，等于给服务器装了扇防盗门，但忘了给自己留钥匙孔。

怎么确认是这个问题

最直接的办法：用另一台机器telnet你的服务器80端口。比如在本地终端执行telnet 你的IP 80，如果一直卡在“Trying...”然后超时，基本可以确定是防火墙拦了。如果秒连然后断开，那说明端口通着，问题出在别处。

还有个更快的判断方式：登录宝塔面板，看“安全”菜单里的“防火墙”状态。如果显示“开启中”，再去“放行端口”列表里找，没有80和443，那就是它了。

解决起来其实很快

在宝塔面板的“安全”页面，找到“添加端口规则”。端口填80，备注写“HTTP”，协议选TCP，策略选“允许”。再加一条443，备注“HTTPS”。保存之后，网站立刻就能打开了。整个过程不超过30秒。

但有个细节要注意：如果你用的是云服务器，比如阿里云、腾讯云、AWS，除了宝塔的防火墙，云服务商那边还有一层“安全组”。两层防火墙都得放行80和443。我见过有人只在宝塔里加了规则，网站还是打不开，折腾半天才发现云控制台的安全组没改。

为什么宝塔不默认放行

我猜是安全策略的取舍。宝塔不想替用户做决定，万一你服务器上跑的不是网站而是别的服务，默认开80反而危险。但这个设计对新手太不友好了。点一下开关，网站就挂，换谁都懵。

还有个坑：宝塔的防火墙和系统自带的firewalld或ufw有时候会打架。你在宝塔里加了规则，系统层面的防火墙可能还是拦着。这种情况得SSH进去，手动执行firewall-cmd --add-port=80/tcp --permanent然后firewall-cmd --reload，或者用ufw的话就是ufw allow 80/tcp。

我的建议是：如果你对Linux防火墙不熟，干脆别开宝塔那个系统防火墙。用云服务商的安全组就够了，那层防护已经足够。宝塔的防火墙更适合那种需要精细控制IP白名单的场景，普通建站没必要碰它。

实在想开，开之前先把80、443、22、8888这四个端口加进放行列表。顺序很重要——先加规则，再开开关。反过来操作，你就得SSH进去救火了。