核心要点（TL;DR）
- 开源Linux面板需严格限制访问IP和端口，避免暴露公网。
- 1Panel默认安全策略较优，但需修改默认端口和密码。
- Webmin和Cockpit需手动配置SSL和防火墙规则。
- 定期更新面板版本是防止已知漏洞的关键。
你是否曾因图方便，将Linux面板直接暴露在公网，结果第二天就发现服务器被植入挖矿脚本？开源面板如1Panel、Webmin、Cockpit极大简化了运维，但默认配置往往存在安全隐患。本文将带你从安全实战角度，对比这三款面板，并给出具体的加固步骤和检查清单，让你既能享受便利，又能守住安全底线。
一、开源面板的安全风险从何而来？
开源面板本质上是一个Web应用，拥有极高的系统权限。常见风险包括：默认弱口令、未加密的HTTP通信、开放的公网端口、未及时修复的漏洞。攻击者通过扫描默认端口（如Webmin的10000、Cockpit的9090），尝试暴力破解或利用已知漏洞，即可完全控制服务器。
二、三款面板安全特性对比
| 特性 | 1Panel | Webmin | Cockpit |
|---|---|---|---|
| 默认HTTPS | 是（自签名） | 否 | 是（自签名） |
| 默认防火墙 | 集成Firewalld | 无 | 无 |
| 双因素认证 | 支持 | 需插件 | 支持 |
| 默认端口 | 8090 | 10000 | 9090 |
| 访问控制 | IP白名单 | IP限制 | 无 |
从对比可见，1Panel在默认安全配置上更胜一筹，但三者都需要进一步加固。
三、通用安全加固步骤
1. 修改默认端口
以1Panel为例，修改/opt/1panel/conf/app.yaml中的bindAddress和port，然后重启服务：systemctl restart 1panel。Webmin修改/etc/webmin/miniserv.conf中的port和listen，重启systemctl restart webmin。Cockpit修改/etc/cockpit/cockpit.conf，添加Port=新端口，重启systemctl restart cockpit。
2. 启用HTTPS并禁用HTTP
1Panel和Cockpit默认启用HTTPS，但使用自签名证书。建议替换为受信任的证书，如Let's Encrypt。Webmin需手动启用SSL：在Webmin配置中，进入“Webmin配置”->“SSL加密”，启用SSL并上传证书。
3. 配置防火墙限制访问IP
仅允许可信IP访问面板端口。使用firewalld：firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="8090" protocol="tcp" accept'，然后firewall-cmd --reload。对于Webmin和Cockpit，同样配置。
4. 启用双因素认证（2FA）
1Panel在“用户设置”中可启用2FA。Webmin需安装webmin-two-factor模块。Cockpit通过cockpit-2fa包支持。启用后，登录需输入动态验证码。
四、安全检查清单
- 是否修改了默认端口？
- 是否启用了HTTPS并禁用了HTTP？
- 是否限制了访问IP？
- 是否启用了双因素认证？
- 是否定期更新面板版本？
- 是否安装了Fail2ban防止暴力破解？
- 是否监控了面板日志？
五、进阶防护：使用AegisX加固
对于追求更高安全性的用户，可以考虑使用AegisX。它提供实时入侵检测、WAF和漏洞扫描，能与面板互补。例如，AegisX可监控面板登录日志，自动封禁恶意IP。
六、行动建议
立即检查你的面板配置：修改默认端口、启用HTTPS、限制IP、开启2FA。定期更新面板和系统补丁。若需远程访问，优先使用SSH隧道或VPN。安全无小事，从今天做起。
常见问题（FAQ）
开源Linux面板哪个最安全？
没有绝对最安全的面板，安全性取决于配置和维护。1Panel默认启用防火墙和HTTPS，相对更安全；Webmin和Cockpit需要手动加固。建议无论使用哪个面板，都应限制访问IP、启用SSL、定期更新。
如何防止Linux面板被暴力破解？
可以采取以下措施：修改默认端口、启用双因素认证、限制访问IP、使用强密码、安装Fail2ban。例如，对于Webmin，可编辑/etc/webmin/miniserv.conf，设置passdelay=1和fail2ban规则。
1Panel、Webmin、Cockpit哪个更适合新手？
1Panel更适合新手，它提供中文界面、一键安装应用和内置安全设置。Webmin功能强大但界面较旧，Cockpit轻量但功能有限。新手建议从1Panel开始，同时学习基本的安全加固。
面板的默认端口需要修改吗？
强烈建议修改默认端口。默认端口如1Panel的8090、Webmin的10000、Cockpit的9090容易被扫描。修改端口可减少自动化攻击，但需同步更新防火墙规则。
如何安全地远程访问Linux面板？
推荐通过SSH隧道或VPN访问面板，避免直接暴露公网。例如，使用ssh -L 8090:localhost:8090 user@server，然后本地访问localhost:8090。同时启用面板的HTTPS和IP白名单。