Magento2(Nginx+SSL终止+Varnish)部署：端口限制与BaseURL配置疑问

1. 限制外部直接访问8081端口（Magento2后端） #

有两种可靠的实现方式：

方式一：修改Magento2的Nginx配置 #

找到监听8081端口的Nginx server配置块，添加访问控制规则，仅允许本地IP访问：

server {
    listen 8081;
    server_name www.example.com; # 替换为你的实际域名

    # 仅允许本地主机访问
    allow 127.0.0.1;
    allow ::1; # 兼容IPv6本地地址
    deny all;

    # 其他Magento2相关配置（如根目录、fastcgi_pass等）...
}

修改完成后重载Nginx配置：sudo systemctl reload nginx，外部请求8081端口会被Nginx直接拒绝。

方式二：通过防火墙拦截外部请求 #

如果使用ufw（Ubuntu/Debian常用防火墙），执行以下命令禁止外部访问8081端口：

sudo ufw deny 8081/tcp

如果使用iptables，执行：

sudo iptables -A INPUT -p tcp --dport 8081 ! -s 127.0.0.1 -j DROP
sudo iptables -A INPUT -p tcp --dport 8081 ! -s ::1 -j DROP # 兼容IPv6

这种方式从网络层面拦截，即使Nginx配置出错也能生效，安全性更高。

2. Magento2 BaseURL是否需要指定非默认端口？ #

不需要。

你的对外访问入口是Nginx的80/443端口，用户实际访问的是https://www.example.com这类公开域名，而非内部的8081端口。BaseURL必须设置为用户实际访问的对外域名（带HTTPS），如果指定:8081，会导致Magento生成的所有链接都指向内部端口，用户访问时会直接绕过SSL终止和Varnish缓存，完全违背现有架构设计。

正确的安装命令示例：

php bin/magento setup:install --base-url=https://www.example.com/ --base-url-secure=https://www.example.com/

如果已经完成安装，也可以通过命令修改BaseURL：

php bin/magento config:set web/unsecure/base_url https://www.example.com/
php bin/magento config:set web/secure/base_url https://www.example.com/
php bin/magento cache:flush

内容的提问来源于stack exchange，提问作者timg