本文详解宝塔面板限制数据库访问IP的3种核心方法，包含防火墙规则配置、MySQL权限管理、安全组策略联动，并针对数据库暴露风险提供自动化监控方案，附带真实攻防案例解析及高频问题答疑。
为什么数据库总被陌生IP扫描
最近某电商平台运维发现MySQL存在大量异常连接请求，经日志分析发现数据库3306端口长期暴露在公网。攻击者通过爆破弱密码方式，在3天内发起17万次访问尝试，最终导致数据库连接池耗尽。
解决方案：登录宝塔面板→安全→防火墙→放行端口，删除3306端口的0.0.0.0规则，仅保留指定IP段（案例中设置/24网段）。同步在MySQL配置文件中增加bind-address=内网IP。
宝塔面板防火墙怎么设置IP白名单
当开发团队需要远程访问时，可在Nginx防火墙插件设置动态规则：
- 打开网站防护→IP黑白名单
- 添加IP段规则：58.152.0.0/16 允许访问
- 勾选同步应用到数据库端口
某在线教育平台采用该方案后，数据库扫描攻击下降92%。注意需配置备援IP，避免运维人员网络变更导致失联。
MySQL权限设置常见误区
通过phpMyAdmin修改账户权限时，90%用户会忽略Host字段绑定：
- 错误配置：user@% （允许所有IP）
- 正确配置：user@192.168.1.% （限定内网C段）
某金融App曾因该配置错误导致数据泄露，修正后结合宝塔的访问频率限制功能，将每个IP的每分钟最大连接数设为30次。
数据库防护自动化监控方案
在宝塔计划任务中添加安全巡检脚本：
!/bin/bash 检测非常用IP访问 mysql -e "SELECT host FROM mysql.user WHERE host NOT LIKE '192.168.%';" 检查端口暴露情况 ss -tnlp | grep 3306
某游戏公司通过该脚本每周生成安全报告，发现并封禁12个异常IP地址。
高频问题答疑
Q：设置IP限制后网站报错怎么办？
A：分步排查：①检查CDNIP是否加入白名单 ②确认API服务IP ③测试本地工具连接
Q：云数据库如何配置安全组？
A：以阿里云为例：入方向规则协议类型选MySQL(3306)，授权对象填Web服务器IP，优先级设为1。
