面板安全加固与告警通知的常见问题
一份最小加固清单
公网服务器开箱即裸奔，装完面板当天就该做完这几件事：
- 改默认凭证、开两步验证：「面板设置 - 安全」里配置，配合授权 IP 限制效果更好；
- 换 SSH 默认端口、配密钥登录：动作在面板里完成，见SSH 管理；
- 防火墙最小化放行：只开 80、443 和管理端口，数据库端口绝不对外开放，见系统防火墙；
- 容器端口逐个审：系统防火墙挡不住 Docker 发布端口，要靠容器端口防护层，见容器端口防护；
- 配好告警：出事时能第一时间知道，见下文。
告警渠道的版本边界
按官方文档口径：邮箱与 Bark 告警社区版可用；企业微信、钉钉、飞书、短信告警需要专业版或企业版许可证。个人用户免费版的组合是「邮箱为主、Bark 补 iOS 推送」，够用。
告警的触发场景覆盖：主机资源（CPU、内存、磁盘）异常、网站或应用运行异常、备份失败、登录异常。渠道配置都在「面板设置 - 面板告警」：邮箱填 SMTP 服务器、端口、账号与授权码（个人邮箱要先在邮箱侧开 SMTP 服务拿授权码）；企业渠道填机器人 Webhook 并注意平台侧的 IP 白名单设置。
收不到告警的排查清单
官方文档给了排查方向，按命中率排序：
- 配置本身有误——用「发送测试告警」功能验证，别等真事故才发现渠道不通；
- 许可证不支持该渠道——企微钉钉飞书短信在免费版里本来就发不出；
- 第三方平台的 IP 白名单没加服务器出口 IP，或服务器换 IP 后没同步更新；
- 到「日志审计 - 系统日志」里查相关报错，见进程管理之外的系统日志入口。
禁 Ping 与端口白名单
防火墙设置页还有两个开关值得配：
- 禁 Ping：忽略 ICMP 请求，减少被探测的面。注意部分监控和诊断依赖 Ping，官方提醒启用前确认不影响业务；
- 端口白名单：默认保护 80/443 与面板、SSH 端口，在防火墙启用或重启时自动放行，别把管理端口从这里删掉——这是保命配置。
数据安全的最后底牌
安全配置防的是入侵，备份防的是意外：加固做完，把定时备份和系统快照配上，才算真正睡得着。