服务器 SSH 端口修改指南 – wiki基地

作者： /

服务器安全加固：SSH 默认端口修改深度指南

在服务器管理和维护中，安全性始终是重中之重。远程登录工具 SSH (Secure Shell) 是我们日常管理服务器不可或缺的手段。默认情况下，SSH 服务运行在 TCP 协议的 22 号端口上。这个端口是事实上的标准，但也正因如此，它成为了无数恶意扫描、字典攻击和暴力破解的首要目标。虽然强大的密码、密钥认证和 Fail2ban 等工具能有效抵御这些攻击，但修改 SSH 的默认端口仍然是提升服务器安全性的一种简单而有效的手段。这相当于给你的服务器入口换了一个不易被猜测的门牌号，能够显著减少针对默认端口的自动化攻击噪音。

本文将为您提供一份详尽的服务器 SSH 端口修改指南，包括修改的原因、风险与规避、详细步骤、不同 Linux 发行版的差异、以及一些高级注意事项和故障排除技巧。

第一章：理解 SSH 与为何要修改默认端口

1.1 什么是 SSH？

SSH，全称 Secure Shell，是一种加密的网络传输协议，用于在不安全的网络中提供安全的远程登录和其它安全网络服务。它取代了传统的、不安全的协议，如 Telnet、rsh 和 rcp，因为这些协议在传输数据时不对内容进行加密，容易被截获和窃听。通过 SSH，你可以在本地计算机上安全地连接到远程服务器，执行命令、传输文件等操作。

SSH 的核心是加密。客户端和服务器之间建立连接时，会进行身份验证（通常通过密码或密钥），然后所有传输的数据都会被加密和解密，确保了通信的机密性和完整性。

SSH 服务端程序通常是 sshd (SSH daemon)，它监听特定的网络端口，等待客户端的连接请求。默认情况下，这个端口是 TCP/22。

1.2 为什么修改默认 SSH 端口（22）？

正如前文所述，22 号端口是 SSH 的标准端口。这意味着：

  • 普遍性： 几乎所有服务器都可能在该端口上运行 SSH 服务。
  • 易于扫描： 攻击者进行网络扫描时，会首先尝试探测 22 号端口，以查找开放的 SSH 服务。
  • 自动化攻击目标： 大量自动化脚本和僵尸网络会针对互联网上的服务器 IP 地址，尝试连接 22 号端口并进行暴力破解（猜测密码）或字典攻击。

尽管修改端口并不能从根本上阻止一个有针对性的、高技术的攻击者（他们仍然可以通过端口扫描找到实际运行 SSH 的端口），但它有以下几个显著的优点：

  • 减少日志噪音： 将 SSH 移动到非标准端口，可以显著减少那些针对 22 号端口的无差别扫描和暴力破解尝试。你的服务器日志将变得更“干净”，更容易发现真正的安全事件，而不是被大量的无效攻击尝试淹没。
  • 降低自动化攻击风险： 绝大多数针对 22 号端口的自动化攻击脚本不会尝试连接其他端口。修改端口可以有效过滤掉这部分低成本、广撒网式的攻击。
  • “安全通过隐藏”（Security through Obscurity）： 这是一个有争议的概念。单独依赖隐藏端口是不安全的，因为它很容易被发现。但作为整体安全策略的一部分，隐藏非敏感服务的入口（例如SSH的默认端口）可以在一定程度上增加攻击者的初始探测成本，尤其对于那些资源有限或自动化程度较低的攻击者。它买来的是时间和减少的无谓干扰。

重要提示： 修改 SSH 端口只是一种辅助的安全措施，绝不能替代其他更重要的安全实践，如：

  • 使用强密码或更推荐的 SSH 密钥对认证。
  • 禁用密码认证（如果使用密钥对）。
  • 限制允许登录的用户。
  • 使用 Fail2ban 或类似的工具来阻止恶意 IP 地址。
  • 及时更新系统和软件补丁。

第二章：修改 SSH 端口前的准备与风险规避

修改正在运行的关键服务的配置始终伴随着风险，特别是对于远程连接服务如 SSH。最主要的风险就是将自己锁定在服务器之外。一旦修改错误，或者防火墙配置不当，你可能会丢失 SSH 连接，并且无法再次通过 SSH 登录。

为了最大程度地降低风险，请务必在操作前做好以下准备和预防措施：

2.1 前期准备

  1. 获取必要的权限： 你需要具有 root 用户权限或能够使用 sudo 命令执行特权操作的用户账号。
  2. 基本的 Linux 命令行知识： 需要熟悉如何在终端中导航目录、编辑文件（如使用 nano、vim 或 vi）、执行服务管理命令（如 systemctl 或 service）和防火墙命令。
  3. 文本编辑器： 确保你熟悉至少一种命令行文本编辑器，如 nano (更适合新手) 或 vim/vi (功能强大)。
  4. 选择一个新的端口号：
    • 选择一个大于 1023 的端口号。0-1023 是“知名端口”（Well-Known Ports），通常分配给系统服务，应避免使用。
    • 选择一个未被系统上其他服务占用的端口。你可以通过查看 /etc/services 文件或使用 netstat -tulnp 命令来检查常用服务的默认端口和当前正在监听的端口。
    • 选择一个不常见的、相对随机的端口号，以进一步降低被扫描到的几率。例如，2222、22022、50000 等都是常见的选择，但越是“随机”的数字越好（当然需要记录下来）。端口范围是 1 到 65535。
  5. 替代登录方式（强烈推荐）： 如果可能，准备一种在 SSH 失效时仍能访问服务器的方式。
    • 云服务商提供的控制台访问： 大多数云服务器（如 AWS EC2、Azure VM、Google Cloud Compute Engine、阿里云、腾讯云等）都提供通过网页浏览器访问服务器控制台的功能，即使网络配置错误导致 SSH 不可用，通常也能通过控制台登录进行修复。这是最安全可靠的备用方案。
    • 物理访问： 如果是自己托管的物理服务器，确保在需要时可以物理连接键盘和显示器。
    • 另一个远程管理工具： 如果有设置其他远程管理工具（如 VNC、AnyDesk 等），也可以作为备用。

2.2 风险规避措施

  1. 保持当前 SSH 会话开启（最重要！）： 在整个修改和测试过程中，切勿关闭你当前正在使用的 SSH 会话。如果新的配置或防火墙设置有问题，你可以利用这个仍然连接着的会话来撤销修改或修复问题。只有在新端口连接成功并确认无误后，再关闭旧会话。
  2. 备份 SSH 配置文件： 在修改 /etc/ssh/sshd_config 文件之前，先创建一个备份。这样，如果修改出错，可以随时恢复到原始文件。
    bash
    sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
  3. 测试配置文件的语法： 在重启 SSH 服务之前，使用 sshd -t 命令检查配置文件的语法是否正确。这只能检查语法错误，不能检查逻辑错误（比如防火墙配置错误），但可以避免因配置文件写错而导致服务启动失败。
    bash
    sudo sshd -t
    如果没有输出，表示语法正确。如果输出错误信息，请根据提示检查并修改配置文件。
  4. 分步测试： 修改配置、重启服务、更新防火墙是三个关键步骤，每一步完成后都应该在不关闭旧会话的前提下进行测试。

准备工作和风险规避措施至关重要。请务必认真对待，以防把自己锁在门外。

第三章：详细的 SSH 端口修改步骤

以下是在主流 Linux 发行版上修改 SSH 端口的通用步骤。我们将以使用 nano 编辑器为例，并涵盖防火墙设置的部分。

步骤 1：通过当前 SSH 会话连接到服务器

这是前提条件。使用你常用的 SSH 客户端连接到服务器。

“`bash
ssh your_user@your_server_ip

或者如果已经修改过端口，使用已知的端口

ssh -p existing_port your_user@your_server_ip

“`

登录后，确保你拥有 root 权限或可以通过 sudo 执行命令。

步骤 2：备份 SSH 配置文件

在进行任何修改之前，备份原始配置文件是一个好习惯。

bash
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

这会在同一目录下创建一个名为 sshd_config.bak 的备份文件。

步骤 3：编辑 SSH 配置文件

使用你熟悉的文本编辑器打开 SSH 服务端配置文件 /etc/ssh/sshd_config。

bash
sudo nano /etc/ssh/sshd_config

在文件中找到包含 Port 22 的行。这行可能被注释掉了（以 # 开头）。

“`ini

Port 22

“`

取消这行的注释（删除开头的 #），并将 22 替换为你选择的新端口号（例如，我们这里使用 22222 作为示例）。

ini
Port 22222

你也可以选择同时保留 22 号端口和新端口一段时间，以进行更安全的过渡。这可以通过添加多行 Port 配置来实现：

ini
Port 22
Port 22222

在确认新端口工作正常并已经更新了所有需要连接的客户端后，再回来删除 Port 22 这行。对于刚开始操作的用户，强烈建议先保留旧端口。

重要提示：
* 确保你修改的是 sshd_config (SSH Daemon)，而不是 ssh_config (SSH Client)。
* 确保你添加或修改的 Port 行没有被注释掉。

修改完成后，保存并关闭文件。
* 使用 nano: 按 Ctrl + X，然后按 Y 确认保存，最后按 Enter 确认文件名。

步骤 4：测试 SSH 配置文件的语法

在重启服务之前，检查配置文件的语法。

bash
sudo sshd -t

如果命令没有任何输出，说明配置文件语法正确。如果输出错误信息，请根据错误提示回到 /etc/ssh/sshd_config 文件中进行修改。

步骤 5：重启 SSH 服务

为了让新的配置生效，需要重启 SSH 服务。使用的命令取决于你的 Linux 发行版和其初始化系统（Systemd 是目前主流，SysVinit 是较旧的系统）。

对于使用 Systemd 的发行版（如 Ubuntu 15.04+，Debian 8+，CentOS/RHEL 7+，Fedora）：

bash
sudo systemctl restart sshd

你可以使用以下命令检查服务状态，确保它已成功启动且没有报告错误：

bash
sudo systemctl status sshd

对于使用 SysVinit 的发行版（较旧的系统）：

bash
sudo service ssh restart

检查服务状态：

bash
sudo service ssh status

重要提示： 在执行重启命令后，不要关闭当前的 SSH 会话！

6：更新防火墙规则（关键步骤！）

SSH 服务现在已经在新的端口上监听连接了，但是大多数服务器都有防火墙（如 iptables, firewalld, ufw）在运行，默认会阻止外部连接到这个新端口。你必须在防火墙中打开新的 SSH 端口，否则即使服务正常运行，你也无法通过新端口连接。

这一步是很多人容易出错并导致无法连接的地方。请根据你服务器上运行的防火墙软件选择相应的命令。

6.1 使用 firewalld (CentOS/RHEL 7+, Fedora)：

Firewalld 是 CentOS/RHEL 7+ 及 Fedora 的默认防火墙管理工具。它使用“区域”（zones）概念。通常你需要修改默认区域或你的服务器所配置的区域。

首先，允许新的 SSH 端口（例如 22222/tcp）。使用 --permanent 标志使规则在重启后仍然有效。

bash
sudo firewall-cmd --permanent --add-port=22222/tcp

然后，重新加载 firewalld 配置使更改生效。

bash
sudo firewall-cmd --reload

你可以验证新的端口是否已添加到允许的服务/端口列表中：

bash
sudo firewall-cmd --list-ports
sudo firewall-cmd --list-services # SSH might be listed here by default

如果你之前在 /etc/ssh/sshd_config 中保留了旧的 22 号端口，Firewalld 可能已经允许了 SSH 服务（默认在 22 端口）。如果你的目标是最终关闭 22 端口，但想在测试阶段保留它，你可以暂时不做任何修改。在确认新端口可用后，再执行删除 22 端口的规则：

“`bash

删除默认的SSH服务规则（它默认是允许22端口的）

请谨慎执行此步，确保你知道自己在做什么，或者只是删除特定的22端口规则

sudo firewall-cmd –permanent –remove-service=ssh

sudo firewall-cmd –reload

或者更精确地，只删除22端口的规则

sudo firewall-cmd –permanent –remove-port=22/tcp
sudo firewall-cmd –reload
“`
建议在确认新端口完全稳定可用并已成功通过新端口连接服务器后，再删除 22 端口的防火墙规则。

6.2 使用 ufw (Ubuntu, Debian)：

UFW (Uncomplicated Firewall) 是 Ubuntu 和 Debian 系统上常用的防火墙管理工具，旨在简化 iptables 的使用。

允许新的 SSH 端口（例如 22222/tcp）：

bash
sudo ufw allow 22222/tcp

如果你之前在 /etc/ssh/sshd_config 中保留了旧的 22 号端口，并且 ufw 已经允许了 22 端口，你可以暂时保留它。在确认新端口可用后，再删除 22 端口的规则：

bash
sudo ufw delete allow 22/tcp

你也可以使用 sudo ufw status verbose 来查看当前的防火墙规则。

6.3 使用 iptables (较旧的系统或手动配置)：

Iptables 是 Linux 内核中 netfilter 子系统的一个命令行工具，用于配置网络包过滤规则。直接配置 iptables 比较复杂，且规则在重启后默认不会保留，需要额外的保存和恢复机制。

添加一条规则允许 TCP 流量进入新的 SSH 端口（例如 22222）：

bash
sudo iptables -A INPUT -p tcp --dport 22222 -j ACCEPT

将这条规则保存在一个文件中，以便在系统重启时恢复。具体的保存方法取决于你的系统配置，常见的工具有 iptables-save 和 netfilter-persistent 包。

例如，使用 iptables-save 并重定向到文件：

“`bash
sudo sh -c ‘iptables-save > /etc/iptables/rules.v4’ # 路径可能不同，取决于系统

或者使用 service 命令如果可用

sudo service iptables save

“`

如果你之前允许了 22 端口，你可能需要找到并删除那条规则。这通常涉及到使用 -D 参数配合规则的编号或详细匹配条件。例如，先列出规则 sudo iptables -L --line-numbers，找到允许 22 端口的规则行号，然后删除：sudo iptables -D INPUT <rule_number>。

重要提示： Iptables 的配置在没有保存机制的情况下，系统重启后会丢失。确保你的系统有配置自动加载 iptables 规则的机制。

步骤 7：从新的终端窗口测试连接

这是验证操作是否成功的关键步骤。打开一个新的终端窗口（不要关闭旧的 SSH 会话！），尝试使用新的端口连接到服务器。

bash
ssh -p 22222 your_user@your_server_ip

将 22222 替换为你设置的新端口号，your_user 和 your_server_ip 替换为你的实际用户名和服务器 IP 地址。

  • 如果连接成功： 太好了！你已经成功修改并打开了新端口。你可以在新会话中确认一切正常。现在你可以进行下一步：关闭旧会话并考虑禁用旧端口（如果之前保留了）。
  • 如果连接失败（连接超时、拒绝连接等）： 不要慌张。回到你仍然保持连接的旧 SSH 会话中。检查以下项：
    • /etc/ssh/sshd_config 文件是否修改正确？Port 行是否取消注释且端口号正确？
    • sudo sshd -t 是否报告了语法错误？
    • SSH 服务是否成功重启？使用 sudo systemctl status sshd 或 sudo service ssh status 检查日志。
    • 防火墙规则是否正确添加？是否重新加载了防火墙？使用防火墙命令 (firewall-cmd --list-ports / ufw status verbose / iptables -L) 检查新端口是否已允许。
    • SELinux 是否可能阻止 sshd 绑定到非标准端口？（见下一章节的故障排除）
    • 如果找不到问题，最安全的做法是恢复配置文件备份 (sudo cp /etc/ssh/sshd_config.bak /etc/ssh/sshd_config)，然后重启 SSH 服务和防火墙，恢复到修改前的状态，再重新尝试或查找更详细的错误信息。

步骤 8：关闭旧的 SSH 会话

只有在通过新端口成功建立连接并确认可以正常工作后，才可以安全地关闭最初用于修改配置的 SSH 会话。

在旧的终端窗口中输入 exit 或 logout。

步骤 9：可选：禁用旧的 SSH 端口（22）

如果你之前在 sshd_config 文件中保留了 22 号端口，并且通过新端口连接已经稳定可靠，现在可以回去禁用 22 号端口以提高安全性。

  1. 再次使用新端口连接到服务器：
    bash
    ssh -p 22222 your_user@your_server_ip
  2. 编辑 sshd_config 文件：
    bash
    sudo nano /etc/ssh/sshd_config
    删除或注释掉 Port 22 那一行。
  3. 保存并关闭文件。
  4. 测试配置语法：
    bash
    sudo sshd -t
  5. 重启 SSH 服务：
    bash
    sudo systemctl restart sshd
    # 或 sudo service ssh restart
  6. 更新防火墙规则，移除 22 号端口的允许规则（如果你在步骤 6 中保留了它）：
    • firewalld:
      bash
      sudo firewall-cmd --permanent --remove-port=22/tcp
      sudo firewall-cmd --reload
      如果你之前允许的是 ssh 服务而不是具体的端口，可以考虑移除服务或修改服务定义。
    • ufw:
      bash
      sudo ufw delete allow 22/tcp
      # 或者如果规则是通过服务名添加的
      # sudo ufw delete allow ssh
    • iptables: 找到并删除允许 22 端口的规则，然后保存 iptables 配置。

完成这些步骤后，你的服务器 SSH 服务将完全运行在新的端口上，并且旧的 22 端口将被关闭（取决于你的防火墙设置）。

第四章：高级注意事项与故障排除

4.1 SELinux 的影响 (主要针对 RHEL/CentOS/Fedora)

在启用了 SELinux (Security-Enhanced Linux) 的系统上，SELinux 策略可能会阻止 sshd 服务绑定到非标准的端口。即使你在 sshd_config 中修改了端口并在防火墙中打开了它，SELinux 仍然可能阻止服务在该端口上监听。

如果你在检查 SSH 服务状态或系统日志时看到与端口绑定相关的权限错误（例如 AVC denials），很可能是 SELinux 在起作用。

解决 SELinux 端口限制的方法是告诉 SELinux 你的新端口号也应该被视为 SSH 端口类型 (ssh_port_t)。这需要安装 policycoreutils-python-ng (CentOS/RHEL 7/8) 或 policycoreutils-python (较旧版本) 包。

“`bash

安装工具 (如果未安装)

sudo yum install policycoreutils-python-ng # CentOS/RHEL 7/8

sudo dnf install policycoreutils-python-ng # Fedora

sudo apt-get install policycoreutils # Debian/Ubuntu – SELinux 不常用，但命令类似

添加新的端口到 ssh_port_t 类型

sudo semanage port -a -t ssh_port_t -p tcp 22222
“`

将 22222 替换为你的新端口号。

-a 表示添加，-t 指定类型 (ssh_port_t)，-p 指定协议 (tcp)。

你可以使用以下命令查看当前被标记为 ssh_port_t 的端口：

bash
sudo semanage port -l | grep ssh

添加完 SELinux 端口上下文后，无需重启 SSH 服务，更改通常会立即生效，或者在下次 SSH 服务启动时生效。最好还是重启一次 SSH 服务并再次测试连接。

4.2 客户端如何连接新端口

连接到修改了端口的服务器时，需要使用 SSH 客户端的 -p 参数指定端口号：

bash
ssh -p new_port_number your_user@your_server_ip

为了避免每次都手动输入 -p 参数，你可以在本地计算机的 SSH 客户端配置文件 ~/.ssh/config 中为该服务器创建一个别名和配置：

Host my_server_alias
Hostname your_server_ip
Port new_port_number
User your_user
# IdentityFile ~/.ssh/id_rsa # 如果使用密钥认证，指定密钥文件路径

将 my_server_alias 替换为你喜欢的别名，your_server_ip 替换为服务器 IP，new_port_number 替换为新端口，your_user 替换为你的用户名。

保存该文件后，你就可以直接使用别名连接了：

bash
ssh my_server_alias

这将自动使用你在 ~/.ssh/config 中指定的端口和用户名。

4.3 故障排除摘要

如果连接到新端口失败：

  1. 检查 sshd_config： 确保 Port 行存在、没有被注释、端口号正确。使用 sudo sshd -t 检查语法。
  2. 检查 SSH 服务状态： 使用 sudo systemctl status sshd 或 sudo service ssh status 查看服务是否在运行，是否有错误信息。检查系统日志 (/var/log/auth.log 或 /var/log/secure) 获取详细信息。
  3. 检查防火墙： 使用对应的防火墙命令 (firewall-cmd --list-ports / ufw status verbose / iptables -L) 确认新端口已在防火墙中打开。确保重新加载或应用了防火墙规则。
  4. 检查 SELinux (RHEL/CentOS/Fedora)： 如果启用 SELinux，检查 /var/log/audit/audit.log 或使用 ausearch -m avc -ts recent 查看是否有关于 sshd 绑定端口的拒绝信息。使用 semanage port -l | grep ssh 确认新端口是否已添加到 ssh_port_t。如果需要，使用 semanage port -a -t ssh_port_t -p tcp <new_port> 添加。
  5. 检查网络路径： 确保客户端到服务器之间没有其他中间防火墙或安全组阻止了新端口的流量。在云环境中，检查云服务商的安全组/网络 ACLs 设置。
  6. 使用 telnet 或 nc 测试端口是否开放并监听： 从客户端尝试连接到服务器的新端口，看是否能建立连接（即使没有数据交换）。
    bash
    telnet your_server_ip new_port_number
    # 或使用 nc (netcat)
    nc -zv your_server_ip new_port_number
    如果 telnet/nc 显示连接被拒绝或超时，问题很可能在服务器端（服务未运行、防火墙阻止、SELinux 阻止）。如果显示连接成功（尽管可能很快断开），问题可能出在 SSH 协议层面（如客户端配置、服务器配置错误）。

记住，始终保留旧的 SSH 会话，直到通过新端口成功连接！这是最重要的安全网。

第五章：总结

修改服务器 SSH 的默认端口是一个简单而有效的安全加固步骤，它能够显著减少自动化扫描和暴力破解的尝试，降低服务器日志中的噪音。虽然它不能提供绝对的安全（因为它是一种“安全通过隐藏”的策略），但作为整体安全策略的一部分，它具有实际价值。

整个过程的关键在于：

  1. 周密的准备： 备份配置文件、选择新端口、准备备用登录方式。
  2. 风险规避： 保持旧会话开启、测试配置文件语法。
  3. 准确的操作： 正确修改 sshd_config，并务必更新服务器防火墙规则以允许新端口的流量。
  4. 充分的测试： 从新的终端测试新端口的连接，确认成功后再关闭旧会话。
  5. 故障排除能力： 了解常见的导致连接失败的原因（配置错误、服务未启动、防火墙、SELinux）及其排查方法。

遵循本指南中的步骤和建议，您可以安全、顺利地将服务器的 SSH 端口修改到非标准端口，为您的服务器安全再添一道防线。记住，安全是一个持续的过程，修改 SSH 端口只是其中的一环。结合强密码或密钥认证、禁用root直接登录、使用Fail2ban等工具，将构建起更坚固的服务器安全堡垒。

希望这篇详细指南能够帮助您成功地修改服务器的 SSH 端口，并提升服务器的安全性。

发表评论

您的邮箱地址不会被公开。 必填项已用 * 标注

滚动至顶部