为什么需要修改SSH默认端口？

SSH服务的默认22端口是黑客们最常攻击的目标之一。据统计，暴露在公网上的SSH服务器每天都会遭受数千次暴力破解尝试。修改默认端口可以：

• 显著减少自动化扫描和攻击
• 阻止大部分低级别的暴力破解尝试
• 增加攻击者定位服务的难度

修改SSH端口的完整步骤

1. 准备工作

在开始修改前，请确保：

• 已通过当前的SSH连接登录服务器
• 拥有root权限或sudo权限
• 准备一个新的端口号（建议在1024-65535之间）

2. 修改SSH配置文件

使用文本编辑器打开SSH配置文件：

sudo nano /etc/ssh/sshd_config

找到并修改以下行：

#Port 22

取消注释并更改为新端口：

Port 2222

（将2222替换为您选择的新端口号）

3. 配置防火墙

根据您使用的防火墙工具进行配置：

对于iptables：

sudo iptables -A INPUT -p tcp --dport 2222 -j ACCEPT
sudo service iptables save

对于firewalld：

sudo firewall-cmd --permanent --add-port=2222/tcp
sudo firewall-cmd --reload

对于ufw：

sudo ufw allow 2222/tcp

4. 重启SSH服务

应用更改：

sudo systemctl restart sshd

重要注意事项

• 测试新端口连接：不要立即关闭当前会话，先使用新端口测试连接
• 避免使用常用端口：不要选择80、443、8080等常见服务端口
• 考虑云安全组设置：在云平台控制台中也要开放新端口
• 记录新端口：确保您和团队不会忘记新端口号

高级安全建议

除了修改端口外，还可以考虑：

1. 禁用root用户SSH登录
2. 使用SSH密钥认证替代密码
3. 设置fail2ban防止暴力破解
4. 限制可登录的IP地址范围

常见问题解答

Q：修改端口后无法连接怎么办？

A：检查防火墙设置、云平台安全组规则，确保新端口已正确开放。可以通过云控制台的VNC功能登录修复。

Q：修改端口能完全防止SSH攻击吗？

A：不能，这只是安全措施之一。建议结合其他安全措施共同防护。

Q：是否应该完全禁用密码认证？

A：对于生产环境，强烈建议使用密钥认证并禁用密码登录。