修改Linux服务器SSH端口是提升安全性的基础操作，核心步骤是通过编辑配置文件将默认22端口更改为自定义端口，并重启SSH服务生效。
很多刚接触服务器运维的朋友,看到后台日志里成千上万条来自全球的暴力破解尝试，第一反应往往是惊慌，这并非黑客有多高明，而是默认端口22就像一扇没锁的大门，任何扫描器都能轻易找到入口，业内专家指出，改变这一默认设置，能直接过滤掉绝大多数自动化脚本的无差别攻击，是构建服务器安全防线的第一道且最有效的屏障。
为什么必须修改SSH默认端口
SSH（Secure Shell）协议默认监听TCP 22端口，这一标准自互联网早期沿用至今，正是这种“标准”，让服务器成为了蜜罐。
自动化扫描器的威胁
互联网上时刻运行着大量的僵尸网络和扫描器,它们以极快的速度遍历IP段，专门寻找开放22端口的服务，据统计，未经任何保护的服务器，平均每天会收到数千次登录尝试，多数情况下，这些尝试使用常见的用户名和密码组合，虽然单次成功率极低，但积少成多，一旦撞库成功，后果不堪设想。
减少日志噪音
除了安全风险,默认端口还带来运维上的困扰，大量的无效登录请求会填满系统日志，如/var/log/secure或/var/log/auth.log，这不仅占用磁盘空间，更让真正的安全事件被淹没在噪音中，增加了排查故障的难度，将端口改为非标准高位端口，能显著降低这类噪音，让运维人员专注于真正有价值的告警。
Linux服务器修改SSH端口实操指南
修改端口看似简单,但操作不当可能导致无法远程连接，进而被锁在服务器之外，严谨的步骤至关重要，以下操作基于CentOS/RHEL及Ubuntu/Debian等主流发行版，原理通用。
第一步：备份配置文件
在修改任何系统核心配置前,备份是铁律，一旦新配置出错，备份文件能让你迅速回滚。
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
此命令将原配置文件复制一份命名为sshd_config.bak，确保原样保留。
第二步：编辑SSH配置文件
使用文本编辑器打开配置文件,推荐使用vim或nano，这里以vim为例。
sudo vim /etc/ssh/sshd_config
在文件中找到Port 22这一行，如果该行被注释（前面有#号），请去掉#号；如果不存在，则手动添加，将22修改为你想要的新端口号，例如2222或50000。
Port 2222
端口选择建议
- 避免常见端口：不要选择21, 23, 80, 443等常用服务端口，以免混淆。
- 高位端口：建议使用1024以上的端口，最好选择40000-60000之间的高位端口，进一步降低被扫描到的概率。
- 唯一性：确保新端口未被其他服务占用，可通过
netstat -tulnp | grep <端口号>检查。
第三步：配置防火墙规则
修改配置后,必须确保防火墙允许新端口的流量通过，否则你将无法连接服务器，不同发行版的防火墙工具不同，需分别处理。
CentOS/RHEL (firewalld)
sudo firewall-cmd --permanent --add-port=2222/tcp sudo firewall-cmd --reload
Ubuntu/Debian (ufw)
sudo ufw allow 2222/tcp sudo ufw reload
云服务器安全组
如果你使用的是阿里云、腾讯云、AWS等云服务器，务必在云控制台的安全组规则中添加入站规则，允许TCP协议的2222端口，这是新手最容易忽略的环节，导致即使系统防火墙已放行，外部依然无法连接。
第四步：重启SSH服务
配置生效需要重启SSH守护进程。
sudo systemctl restart sshd
对于Ubuntu系统,服务名可能是ssh：
sudo systemctl restart ssh
第五步：验证连接
切勿关闭当前SSH会话！ 打开一个新的终端窗口，尝试使用新端口连接。
ssh -p 2222 username@your_server_ip
如果连接成功,说明修改生效，你可以关闭旧的会话，如果连接失败，请立即回到旧的会话中检查配置和防火墙，切勿盲目重启服务器，以免陷入无法远程管理的困境。
修改SSH端口后的安全加固建议
仅仅修改端口并不能保证绝对安全,它只是增加了攻击者的成本，为了构建更坚固的防御体系，建议结合以下措施。
禁用密码登录，启用密钥认证
密码登录始终存在被暴力破解的风险,尤其是弱密码，SSH密钥认证基于非对称加密，安全性远高于密码。
在/etc/ssh/sshd_config中修改：
PasswordAuthentication no PubkeyAuthentication yes
修改后重启服务,在此之前，务必确保你的客户端已生成并上传了公钥到服务器的~/.ssh/authorized_keys文件中。
限制root用户直接登录
直接以root身份登录风险极高,建议创建一个普通用户，通过sudo权限执行管理员操作。
PermitRootLogin no
这样,即使攻击者猜对了密码，也无法直接获得最高权限。
安装Fail2ban
Fail2ban是一个入侵防御软件框架,它可以扫描系统日志，识别多次失败登录尝试的IP，并自动通过防火墙规则屏蔽这些IP。sudo apt install fail2ban # Ubuntu/Debian sudo yum install fail2ban # CentOS/RHEL
配置Fail2ban监控SSH服务,设置合理的阈值（如5次失败后封锁1小时），能有效抵御自动化攻击。
常见问题与解答
Linux服务器修改SSH端口后无法连接怎么办？
如果修改端口后无法连接,首先检查是否误关了当前会话，若已断开，需通过云控制台的VNC控制台或救援模式登录服务器，检查以下几点：1. 配置文件中的端口号是否拼写错误；2. 防火墙是否放行了新端口；3. 云服务器安全组是否配置正确；4. SSH服务是否成功重启，确认无误后，重新尝试连接。
修改SSH端口会影响其他服务吗？
不会影响其他服务,SSH服务独立监听指定端口，修改其端口仅改变SSH服务的访问入口，不会干扰HTTP、FTP、数据库等其他服务的运行，只要确保新端口未被其他服务占用，即可安全使用。
修改SSH端口能完全防止黑客入侵吗？
不能,修改端口属于“安全通过隐蔽”策略，能阻挡大部分自动化扫描和低级攻击，但无法防御针对性强、手段高级的攻击者，黑客仍可能通过端口扫描发现你的新端口，或通过其他漏洞（如Web应用漏洞、内核漏洞）入侵服务器，端口修改应作为多层防御体系的一部分，结合密钥认证、防火墙、入侵检测等手段共同使用。
首发原创文章，作者：世雄 - 原生数据库架构专家，如若转载，请注明出处：https://idctop.com/article/403923.html
