宝塔面板限制指定IP段访问有五种方法：一、修改绑定IP；二、Nginx反向代理+IP白名单；三、安全模块全局屏蔽后放行；四、systemd服务参数强制绑定；五、系统防火墙端口级限制。
如果您希望宝塔面板仅允许指定IP段访问后台管理界面，防止非授权人员通过公网直接登录，则需限制面板监听范围或叠加访问控制策略。以下是实现该目标的多种方法：
一、修改宝塔面板绑定IP地址
此方法通过限定面板服务仅监听特定内网或可信IP，从网络层阻止外部连接尝试，是最基础且高效的限制方式。
1、使用SSH登录服务器，执行命令：bt 10，进入面板设置菜单。
2、选择【修改面板端口】选项后，系统会提示是否修改面板绑定IP，输入y确认启用绑定IP功能。
3、在提示输入绑定IP时，填写允许访问的单个IP（如192.168.1.100）或CIDR格式网段（如10.0.0.0/8），多个网段用英文逗号分隔。
4、按回车确认，系统将自动重启面板服务并应用新绑定规则。
二、配置Nginx反向代理+IP白名单
当面板已暴露在公网且无法直接修改绑定IP时，可通过前置Nginx反向代理实施精细IP过滤，所有请求先经Nginx校验再转发至面板端口。
1、在宝塔【网站】中新建一个静态站点，域名可设为任意占位符（如panel-proxy），根目录随意。
2、点击该站点【设置】→【配置文件】，在server块开头插入以下白名单规则：
allow 172.16.0.0/12;
allow 192.168.0.0/16;
deny all;
3、在location /区块内添加反向代理配置：
proxy_pass https://127.0.0.1:8888;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
4、保存配置后点击【重载配置】，并确保原面板端口（如8888）已关闭外网监听或仅限127.0.0.1访问。
三、利用宝塔安全模块IP黑名单反向实现白名单
宝塔【安全】页面默认提供IP屏蔽功能，虽无直接白名单开关，但可通过“全量屏蔽+逐个放行”逻辑达成等效效果，适用于临时管控场景。
1、进入宝塔左侧菜单【安全】→【防火墙】，点击【屏蔽IP】按钮。
2、在IP输入框中填入0.0.0.0/0，备注填写“全局屏蔽”，点击【屏蔽】。
3、再次点击【屏蔽IP】，分别输入每个需放行的IP或网段（如203.203.203.0/24），备注注明用途，逐一提交。
4、确认列表中仅存在待放行条目，无其他残留屏蔽记录，规则即时生效。
四、修改面板服务启动参数强制绑定
该方法绕过bt命令封装，直接编辑systemd服务文件，适用于对系统控制权要求严格的生产环境，可彻底禁用面板监听0.0.0.0。
1、执行命令：sudo systemctl edit bt.service，创建覆盖配置文件。
2、在打开的编辑器中输入以下内容：
[Service]
Environment="BIND_ADDR=192.168.5.0/24"
3、保存退出后执行：sudo systemctl daemon-reload。
4、重启面板服务：sudo systemctl restart bt.service。
五、通过服务器系统防火墙iptables/ufw限制
在操作系统层面拦截非授权IP对宝塔面板端口（默认8888）的TCP连接请求，不依赖面板自身功能，可靠性高。
1、确认当前防火墙状态：sudo ufw status verbose（Ubuntu）或sudo iptables -L -n（CentOS）。
2、清除现有相关规则（如有）：sudo ufw delete deny 8888 或 sudo iptables -D INPUT -p tcp --dport 8888 -j DROP。
3、添加白名单规则（以允许10.10.0.0/16为例）：sudo ufw allow from 10.10.0.0/16 to any port 8888。
4、拒绝其余所有访问：sudo ufw deny 8888，最后启用防火墙：sudo ufw enable。
