服务器防黑加固指南：SSH端口隐藏、Fail2ban与密钥登录

---

服务器防黑加固指南：SSH端口隐藏、Fail2ban与密钥登录

前言：安全是第一生产力

你的服务器在互联网上裸露的每一秒，都可能有无数的自动化脚本在尝试暴力破解。它们不断地扫描公网IP，尝试用默认密码或常见组合登录SSH。一旦成功，你的服务器就会沦为“肉鸡”，成为挖矿、DDoS攻击或数据窃取的帮凶。

安全加固不是一项可选任务，而是服务器上线后的必需步骤。本文将通过三大核心措施：SSH端口隐藏、Fail2ban主动防御和密钥登录，为你构建一道坚固的服务器防线。

---

一、第一道防线：告别默认端口，隐藏SSH服务

1. 修改默认SSH端口（22）

这是最简单、最立即生效的防护措施。自动化脚本大多只扫描22端口，修改端口能过滤掉90%以上的无意义攻击流量。

操作步骤：

1. 编辑SSH配置文件：

   sudo vim /etc/ssh/sshd_config
   

2. 找到 #Port 22 这一行，取消注释并将 22 修改为一个1024到65535之间的非知名端口（例如 58239）。

   # 将 #Port 22 改为：
   Port 58239
   

   建议保留Port 22并注释掉，作为配置错误的备用方案，等新端口确认可用后再删除。

3. 保存文件后，重启SSH服务使配置生效：

   sudo systemctl restart sshd
   

   ⚠️ 重要警告：不要立即关闭当前连接！ 打开一个新的终端窗口，使用新端口尝试连接服务器，确认成功后再退出当前会话。

   ssh -p 58239 your_username@your_server_ip
   

2. 使用防火墙强化：仅允许特定IP访问（可选）

如果你有固定的办公网络IP，这是最安全的方式。

# 假设新SSH端口是 58239，你的公网IP是 123.123.123.123
sudo ufw a