Linux 修改 SSH 連接埠提升伺服器安全性

SSH (Secure Shell) 是 Linux 遠端管理的標準協定，預設使用 TCP 22 號連接埠。因為廣為人知，常成為暴力破解攻擊的目標。修改 SSH 預設連接埠是一項簡單且有效的基礎防護措施，能大幅降低自動化掃描與嘗試登入的風險。

什麼是 SSH？

SSH 由 IETF 網路工作小組制定，建立在應用層與傳輸層之上，提供加密的遠端登入、指令執行與檔案傳輸功能。其核心優勢在於：

• 資料加密：防止傳輸過程被竊聽或竄改。
• 資料壓縮：提升低頻寬環境下的傳輸效率。
• 強認證機制：支援密碼、公開金鑰、Kerberos 等多種認證方式。

修改 SSH 連接埠步驟

1. 確認 SSH 服務狀態

先檢查是否已安裝 OpenSSH Server：

rpm -qa | grep ssh

確認服務正在運行（以 CentOS 為例）：

systemctl status sshd

2. 備份原始設定檔

cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

3. 編輯 sshd_config

vi /etc/ssh/sshd_config

找到 #Port 22 行，取消註解並新增一行自訂連接埠（建議選擇 1024-65535 之間未被佔用的連接埠，例如 2222）：

Port 22
Port 2222

注意：建議暫時保留 22 連接埠，確認新連接埠可正常連線後，再註解掉 Port 22，避免因設定錯誤導致自己無法登入。

4. 調整防火牆規則

開放新連接埠（以 firewalld 為例）：

firewall-cmd --permanent --add-port=2222/tcp
firewall-cmd --reload

若使用 iptables：

iptables -A INPUT -p tcp --dport 2222 -j ACCEPT
service iptables save

5. 重啟 SSH 服務

systemctl restart sshd

6. 驗證新連接埠連線

在另一個終端機視窗測試：

ssh -p 2222 user@server_ip

確認能成功登入後，再回到伺服器編輯 sshd_config 註解掉 Port 22，並重啟 sshd。

進階安全建議

• 禁止 Root 直接登入：設定 PermitRootLogin no，改用一般帳號登入後再 su 或 sudo。
• 啟用金鑰認證、停用密碼認證：PubkeyAuthentication yes、PasswordAuthentication no。
• 使用 Fail2ban：自動封鎖多次登入失敗的 IP。
• 限制允許登入的使用者/群組：AllowUsers adminuser 或 AllowGroups sshusers。

修改 SSH 連接埠只是第一道防線，結合上述進階設定，才能構建較完善的遠端存取安全防護。