SSH安全优化建议：端口 + 配置

2025-12-22 13:40 • Linux, 系统运维 • 阅读 34

SSH 是服务器的生命线，默认配置其实不太安全，稍微动动手可以大幅提高安全性，尤其是公网服务器。这里分享几个常用的 SSH 安全优化小技巧。

默认端口 22 是攻击者扫描的首选，换个端口能挡掉一大波无脑爆破。

修改方法：

vim /etc/ssh/sshd_config

把：

Port 22

改成：

Port 22222   # 示例，随便用一个高位未被占用的端口

然后放行新端口：

firewall-cmd --add-port=22222/tcp --permanent
firewall-cmd --reload

最后重启 SSH：

systemctl restart sshd

提示：不要同时关掉 22 端口和重启 SSH，可以先开新端口确认能连上，再禁用旧的。

如果不想让 root 被暴力破解，可以创建普通用户 + sudo 权限，再禁用 root 登录。

操作步骤

创建普通用户

adduser admin
passwd admin
usermod -aG wheel admin

禁止 root 登录

编辑 /etc/ssh/sshd_config

PermitRootLogin no

重启 SSH 服务

systemctl restart sshd

只允许密钥登录，可以防止暴力破解。

开启密钥登录

PasswordAuthentication no

确保你已经配置好公钥

~/.ssh/authorized_keys

提前测试好密钥能用再禁用密码登录，不然会锁自己在外面。

fail2ban 可以自动检测 SSH 日志，一旦某 IP 连续失败多次，就自动拉黑一段时间。

yum install fail2ban -y   # CentOS
apt install fail2ban -y   # Debian/Ubuntu

# 启用 SSH 防护
vim /etc/fail2ban/jail.local

添加：

[sshd]
enabled = true
bantime = 1h
findtime = 600
maxretry = 5

启动：

systemctl enable fail2ban --now

建议部署的 SSH 安全措施：

转载作品，原作者：巴韭特锁螺丝，文章来源：https://mp.weixin.qq.com/s/FpgyPTO7_mA9vHW-0zheTw