宝塔面板的端口放行规则实际由系统iptables控制；其「添加放行端口」本质是调用bt命令向iptables.sh写入规则并执行iptables-restore，不操作firewalld、ufw或云安全组。
宝塔面板的端口放行规则实际由哪层控制？
宝塔面板里点「添加放行端口」，本质是调用 bt 命令向 /www/server/panel/vhost/firewall/iptables.sh 写入 iptables 规则，并触发 iptables-restore 重载。它不操作 firewalld 或 ufw，也不修改云厂商安全组——这两者完全独立。
这意味着：你用脚本调用面板接口放行端口，只影响系统 iptables；若没同步改安全组，外网依然连不上。
- 面板防火墙开关状态可查：
bt 10（显示当前 iptables 规则数） - 真实生效的规则文件在：
/www/server/panel/vhost/firewall/iptables.sh - 所有通过面板 UI 添加的端口，最终都会转成类似
-A INPUT -p tcp -m state --state NEW -m tcp --dport 3306 -j ACCEPT的 iptables 行
如何用命令行直接调用宝塔安全接口添加端口？
宝塔提供内置命令 bt，其中 bt 2 是端口放行入口。它支持批量、静默添加，适合部署脚本集成。
语法为：bt 2 port protocol remark，例如：
bt 2 8080 tcp "web-api"
注意几个关键点：
-
protocol只接受tcp或udp，大小写敏感，填TCP会失败 -
remark不能含空格或特殊符号（如/、"），否则解析异常 - 执行后不会输出成功提示，需手动验证：
iptables -nL INPUT | grep :8080 - 该命令不会校验端口是否已被占用或服务是否监听，只管加规则
为什么脚本自动放行后 iptables 规则没更新？
常见原因是宝塔防火墙被关闭了，bt 2 命令只会往 iptables.sh 写规则，但不会自动启用防火墙。如果 bt 10 返回 0 条规则，说明防火墙处于“关闭”状态。
必须显式开启：
bt 1
这个命令等价于点击面板「安全→防火墙→开启」，它会读取 iptables.sh 并执行 iptables-restore。顺序不能颠倒：先 bt 2 加规则，再 bt 1 启用。
- 检查是否启用：
bt 10输出非零数字才算真正生效 - 如果
bt 1报错iptables-restore: line 1 failed，大概率是iptables.sh被手动改坏，建议备份后删掉重试 - 部分精简系统缺少
iptables-services包，bt 1会静默失败，需先装：yum install iptables-services（CentOS）或apt install iptables-persistent（Ubuntu）
自动化脚本里怎么安全地同步云厂商安全组？
没有通用 API 能绕过云厂商控制台——阿里云用 OpenAPI（需 RAM 授权），腾讯云用 CAM+API Gateway，华为云用 IAM+ServiceStage。宝塔本身不提供任何对接能力。
最稳妥的做法是把安全组配置和服务器部署拆开：用 Terraform 或 Ansible 管理云资源，用 bt 2 + bt 1 管理本地 iptables。两者完全解耦，避免因某一方失败导致端口半开。
如果硬要脚本联动，注意这些坑：
- 阿里云 CLI 必须提前配置
aliyun configure，且 AK/SK 权限至少包含ecs:AuthorizeSecurityGroup - 腾讯云
tencentcloud-cli不支持单端口添加，只能传--PortRange "3306-3306" - 千万别在脚本里 sleep 等待安全组“生效”，阿里云/腾讯云规则通常秒级生效，延迟是网络缓存或本地 DNS 导致的
- 验证通不通，别靠
curl，用nmap -Pn -p 8888 your-ip，它直发 TCP SYN，不受 HTTP 层干扰
真正容易被忽略的是：宝塔面板修改端口（比如改 SSH 端口）时，bt 命令会自动在 iptables.sh 里加新规则，但不会删旧规则。长期运行后规则冗余，可能冲突。定期清理 /www/server/panel/vhost/firewall/iptables.sh 里的重复项，比依赖自动化更可靠。
