Linux 安全基礎：修改 SSH 連接埠、禁止 Root 遠端登入、建立一般用戶提權

前言

預設 SSH 服務使用連接埠 22 且允許 root 直接登入，極易遭受暴力破解攻擊。本文整理三項基礎加固措施：修改連接埠、禁止 root 登入、建立一般用戶透過 su 或 sudo 提權。

1. 修改 SSH 連接埠

# 編輯 sshd 設定檔
vi /etc/ssh/sshd_config

# 找到 #Port 22，修改為非標準連接埠（如 8888、1433、2222）
Port 8888

# 重啟服務生效
service sshd restart
# 或 systemctl restart sshd

連線時需指定連接埠：ssh -p 8888 user@host，PuTTY 在 Port 欄位填入新連接埠。

2. 禁止 Root 遠端登入

vi /etc/ssh/sshd_config

# 找到 PermitRootLogin yes，改為
PermitRootLogin no

# 重啟服務
service sshd restart

3. 建立一般用戶並設定提權

# 新增用戶
useradd uploader
passwd uploader  # 設定密碼

# 遠端以 uploader 登入，再切換 root
su - root
# 或使用 sudo（需先設定 /etc/sudoers）

完整流程腳本範例

# 1. 修改連接埠
sed -i 's/^#Port 22/Port 8888/' /etc/ssh/sshd_config

# 2. 禁止 root 登入
sed -i 's/^PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config

# 3. 新增用戶
useradd -m -s /bin/bash adminuser
echo "adminuser:StrongPassw0rd!" | chpasswd

# 4. 給予 sudo 權限（可選）
echo "adminuser ALL=(ALL) ALL" >> /etc/sudoers

# 5. 重啟 SSH
systemctl restart sshd

驗證與測試

• 嘗試 ssh root@server -p 8888 應被拒絕。
• 使用 ssh adminuser@server -p 8888 登入成功，再 su - root 取得最高權限。

小結

「修改連接埠 + 禁止 root 登入 + 一般用戶提權」是 Linux 伺服器上線前的三大基本動作，能擋下 90% 以上的自動化掃描與暴力破解嘗試。建議再搭配金鑰認證、Fail2ban、防火牆限制來源 IP 等進階措施。