修改 Linux SSH 連接埠 22 的兩種安全實作方案

SSH 預設連接埠 22 是暴力破解攻擊的主要目標。修改連接埠可大幅降低自動化掃描風險。本文提供兩種方案：單埠修改與雙埠平滑遷移，並說明配合 hosts.allow/deny 限制登入 IP 的進階防護。

方案一：單埠修改 + IP 白名單

1. 編輯 /etc/ssh/sshd_config，將 Port 22 改為自訂埠（如 50000），避開常用埠。
2. 限制登入 IP：

   # /etc/hosts.deny
   sshd: ALL
   # /etc/hosts.allow
   sshd: 192.168.0.241
   

   僅允許指定 IP 透過 SSH 登入。

方案二：雙埠平滑遷移（推薦生產環境）

1. 編輯 sshd_config 同時啟用兩個埠：

   Port 22
   Port 50000
   

2. 重啟 SSH：/etc/init.d/sshd restart
3. 防火牆開放新埠：編輯 /etc/sysconfig/iptables 加入 50000，重啟 iptables。
4. 用 SSH 客戶端測試 50000 埠連線。
5. 測試成功後，移除 Port 22，再次重啟 SSH 與防火牆。

優勢：避免修改配置失誤導致斷線無法遠端修復，必須跑機房處理。

進階建議

• 禁用 root 直接登入：PermitRootLogin no
• 強制金鑰認證：PasswordAuthentication no
• 安裝 fail2ban 自動封鎖暴力破解 IP