服务器搭建SSH服务是保障远程管理安全与效率的核心环节，通过安装OpenSSH服务、配置密钥认证、修改默认端口及禁用root登录，可构建高安全性的远程访问环境，该方案兼顾了操作便捷性与系统防御能力,是Linux服务器运维的标准化最佳实践。
SSH服务基础环境部署
搭建SSH服务的首要步骤是确保服务器环境纯净且软件包为最新版本,这能有效避免潜在的依赖冲突和安全漏洞。
-
系统更新与软件安装
对于基于Debian/Ubuntu的系统，执行命令sudo apt update && sudo apt install openssh-server -y，该命令会自动解决依赖关系并安装最新版OpenSSH，对于CentOS/RHEL系统，推荐使用sudo yum install openssh-server -y，安装完成后,系统会自动创建ssh用户组和相关配置文件目录。 -
服务启动与自启配置
安装完毕后，需手动启动服务并设为开机自启，使用sudo systemctl start sshd启动服务，随后执行sudo systemctl enable sshd确保服务器重启后SSH服务自动运行，通过sudo systemctl status sshd验证状态，若显示“active (running)”则表明服务已正常监听。
核心安全配置策略
默认的SSH配置存在显著安全隐患，直接暴露在公网极易遭受暴力破解攻击，修改配置文件 /etc/ssh/sshd_config 是提升安全等级的关键步骤。
-
修改默认监听端口
将默认的22端口修改为高位端口（如2222或50000以上），这能有效规避绝大多数自动化扫描脚本，在配置文件中找到#Port 22行，取消注释并修改为Port 22222，修改后需重启服务生效，此举能减少99%的无效扫描日志。 -
禁止Root账户直接登录
Root账户拥有最高权限，一旦密码泄露后果不堪设想，在配置文件中设置PermitRootLogin no，强制要求先以普通用户登录，再通过sudo提权,这种分层权限管理机制是Linux安全运维的基石。
-
禁用密码认证，启用密钥对
密钥认证的安全性远高于密码认证，在服务器端开启PubkeyAuthentication yes并设置PasswordAuthentication no，客户端需使用ssh-keygen -t rsa -b 4096生成高强度密钥对，并将公钥上传至服务器的~/.ssh/authorized_keys文件中，密钥长度建议至少为4096位,确保在当前算力水平下无法被暴力破解。
防火墙与网络层加固
仅依靠SSH应用层配置不足以应对复杂网络环境,结合防火墙策略可实现双重保险。
-
配置iptables或firewalld规则
若修改了SSH端口，必须同步更新防火墙规则，对于使用UFW的系统，执行sudo ufw allow 22222/tcp，对于firewalld，使用sudo firewall-cmd --permanent --add-port=22222/tcp并重载配置，务必在规则生效前保持现有连接不中断,避免被锁在服务器外。 -
限制连接频率与IP白名单
利用iptables的recent模块限制SSH连接频率，例如每分钟仅允许3次新连接尝试，可有效防御DDoS攻击，对于固定IP的管理环境，建议配置TCP Wrappers（/etc/hosts.allow和/etc/hosts.deny）或防火墙源IP限制，仅允许特定IP访问SSH端口,实现物理层面的访问控制。
高级加固与故障排查
在完成基础搭建后,引入高级安全工具和建立监控机制是专业运维的体现。
-
部署Fail2Ban防御暴力破解
Fail2Ban通过监控日志文件，自动封禁异常IP，安装后配置jail.local文件，设置maxretry=3（最大重试次数）和bantime=3600（封禁时长），该工具能自动化处理恶意攻击尝试,大幅降低人工运维成本。 -
日志审计与监控
定期检查/var/log/secure或/var/log/auth.log文件，分析登录失败记录，可使用grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr命令快速统计攻击源IP,及时发现异常访问行为。
连接测试与维护
所有配置修改完成后，必须进行全流程连接测试，建议保留一个已连接的会话窗口，另开新窗口进行测试，确保在配置错误导致无法连接时能及时回滚，测试内容包括：新端口连接测试、密钥登录验证、普通用户提权测试，定期更新OpenSSH软件包，修补已知CVE漏洞,是保持长期安全稳定运行的必要措施。
相关问答
问：SSH服务修改端口后无法连接，可能的原因有哪些？
答：主要原因包括防火墙未放行新端口、SELinux上下文未更新（需使用 semanage port -a -t ssh_port_t -p tcp 新端口号）、以及云服务商安全组未开放新端口，排查时应按网络层（安全组/防火墙）到应用层（配置文件/SELinux）的顺序逐一检查。
问：如何在不输入密码的情况下实现自动化SSH登录？
答：除了配置SSH密钥对认证外，还可以使用ssh-agent管理密钥，对于脚本自动化场景，可利用expect工具处理交互式密码输入，但出于安全考虑，强烈推荐使用密钥认证方案,避免在脚本中明文存储密码。
如果您在服务器搭建SSH过程中遇到其他问题或有独特的安全加固技巧,欢迎在评论区留言分享。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/77363.html
