VPS 安全加固：修改 SSH 埠號與禁止 Root 遠端登入完整指南

VPS 直接暴露在公網，預設 SSH 埠 (22) 與 Root 登入是駭客暴力破解的首要目標。本文提供修改 SSH 埠號、建立一般使用者、禁止 Root 登入的標準加固流程。

一、修改 SSH 連接埠

1. 編輯設定檔：vi /etc/ssh/sshd_config
2. 找到 Port 22（通常在第 3-4 行），若前有 # 請移除，修改為 1024~65535 之間未被佔用的埠號（例：Port 2222）。
3. 重啟 SSH 服務生效：
   CentOS/RHEL：/etc/init.d/sshd restart
   Debian/Ubuntu：/etc/init.d/ssh restart

二、禁止 Root 直接登入（建立一般使用者改用 su/sudo）

1. 建立一般使用者：useradd yourname
2. 設定密碼：passwd yourname（輸入兩次相同密碼）。
3. 編輯 /etc/ssh/sshd_config，找到 PermitRootLogin yes 改為 PermitRootLogin no。
4. 重啟 SSH 服務（同上）。

重要警示

務必先建立一般使用者並確認可正常登入、且能 su - root 切換身分後，再禁用 Root 登入。
否則若一般帳號建立失敗或密碼設錯，您將永遠無法再以 SSH 登入 VPS，只能透過主機商控制台重開機或還原快照救援。

SFTP 檔案傳輸考量

• 禁止 Root 登入後，無法使用 Root 身分透過 SFTP 上傳檔案。
• 若需 SFTP 管理檔案，建議：
  ① 僅修改埠號，保留 Root 登入；
  ② 或建立專用 SFTP 帳號並限制 chroot 目錄（進階設定）。

總結建議

對多數 VPS 使用者，「修改 SSH 埠號」+「金鑰認證登入」+「fail2ban 防暴力破解」即可達到良好安全性；「禁止 Root 登入」屬進階防護，請評估維運便利性後再決定是否啟用。