摘要

关键词：Nginx, 宝塔面板, 502 Bad Gateway, 反向代理, iptables, Docker 网络风险

给宝塔面板套 Nginx 反向代理，访问时却碰到 502——面板自己的端口直接访问又是好的。排除了默认站点干扰后，发现根因是面板内置的「面板SSL」功能与反向代理使用的 HTTP 连接冲突。本文记录了排查链路、两种修复方案，以及用 iptables 封堵面板端口公网访问的加固方法。同时说明：在 Docker 环境下修改 iptables 可能破坏容器网络，务必先备份再操作。

问题现象

配置 Nginx 反向代理后，访问 https://panel.example.com 显示 502 Bad Gateway，但直接访问 https://panel.example.com:PORT 完全正常。

排查与解决过程

排除默认站点干扰

宝塔安装后会自动生成 0.default.conf 默认站点，匹配所有未明确指定的域名请求。反向代理生效前，用户看到的其实是这个默认站点的"恭喜，站点创建成功！"页面。

# 备份并移除默认站点
sudo mv /www/server/panel/vhost/nginx/0.default.conf{,.bak}
sudo nginx -s reload

定位 502 根本原因

移除默认站点后 502 如期出现。查看 Nginx 错误日志：

recv() failed (104: Connection reset by peer) while reading response header from upstream

面板进程主动断开了连接。

进一步检查发现：宝塔面板启用了「面板SSL」功能，导致面板仅接受 HTTPS 请求。而反向代理默认使用 HTTP 连接后端，协议不匹配引发 reset。

两种解决方案

推荐方案：关闭面板SSL，统一由 Nginx 处理 HTTPS

登录 https://panel.example.com:PORT，进入【面板设置】→【安全】→ 关闭「面板SSL」。

面板回归纯 HTTP 模式后，Nginx 反向代理使用 HTTP 连接后端，稳定可靠。同时 TLS 证书的管理也统一到了 Nginx 层，证书续期、协议配置都更方便。

临时方案：Nginx 使用 HTTPS 连接后端

如果暂时不能关闭面板SSL，可以让 Nginx 用 HTTPS 连接后端（跳过证书验证）：

location / {
    proxy_pass https://127.0.0.1:PORT;
    proxy_ssl_verify off;             # 跳过证书验证
    proxy_set_header Host 127.0.0.1;  # 兼容面板安全策略
    # 其他 proxy_set_header ...
}

这个方案虽然能用，但证书验证被跳过意味着中间人攻击防护失效，且 Nginx 多了一层 TLS 握手开销。建议作为临时过渡，最终还是走推荐方案。

安全加固：限制面板端口仅本地可访问

即使配置了反向代理，面板的原始端口仍然暴露在外网，存在安全隐患。通过 iptables 限制访问源：

⚠️ 风险提示：以下 iptables 规则会修改主机的 netfilter 过滤表。如果服务器上同时运行 Docker，这些规则可能干扰 Docker 的端口映射和容器间网络通信，导致容器出现 "no route to host" 或数据库连接失败。执行前务必备份当前规则，并确认服务栈可接受短暂中断。

# 仅允许本地回环访问面板端口
sudo iptables -I INPUT -p tcp --dport PORT ! -s 127.0.0.1 -j DROP

# 保存规则，确保重启后生效
sudo iptables-save | sudo tee /etc/iptables.rules > /dev/null
echo 'iptables-restore < /etc/iptables.rules' | sudo tee -a /etc/rc.local > /dev/null
sudo chmod +x /etc/rc.local

验证方法

  • 本地测试：curl -I http://127.0.0.1:PORT → 应返回正常响应
  • 外部测试：从其他机器访问 http://your-server-ip:PORT → 应超时或被拒绝

回滚方法

如果执行后 Docker 容器出现网络异常，按以下步骤恢复：

# 1. 恢复 iptables 规则
sudo iptables-restore < /etc/iptables.rules

# 2. 重启 Docker 服务，重新生成网络规则
sudo systemctl restart docker

# 3. 重启业务容器
sudo docker compose up -d

经验总结

  • 宝塔的「面板SSL」与反向代理天然冲突，建议始终关闭，由前端 Nginx 统一管理 TLS
  • 默认站点 0.default.conf 是常见陷阱，部署新站点务必检查
  • 502 错误优先查 upstream 日志，区分是代理层还是后端问题
  • 生产环境必须限制面板端口公网访问，仅允许可信来源（本地或跳板机）
  • Docker 环境下修改 iptables 前务必备份规则，避免容器网络中断
  • 日常管理请始终使用 https://panel.example.com，享受安全、简洁、带有效证书的访问体验

这篇文章是实际运维中碰到的问题记录。服务器环境为 Linux + Nginx + 宝塔面板，命令通用，版本差异请以官方文档为准。