服务器SSH安全登录配置

SSH为什么不安全

服务器的 SSH 登录口暴露在公网，弱密码会被机器人爆破。新机器上线几天就被黑是新手最常见的安全事故。上线第一件事就是把 SSH 配置加固。

第一步：改端口

默认 22 端口被爆得最狠，改成其他高位端口（比如 22222），能挡掉绝大多数自动扫描。改完别忘了防火墙放行新端口。

第二步：用密钥登录

密码登录能被爆破，密钥登录几乎不可能。生成 SSH 密钥对，把公钥放服务器，私钥自己存。然后禁用密码登录，只允许密钥。

• 改 /etc/ssh/sshd_config 里的 PasswordAuthentication no。
• 改完重启 sshd，别立刻关当前连接，先测新登录方式。

第三步：禁root远程登录

用普通账号登录，需要时再 su 切换，别让 root 直接远程登录。即使密码被猜中，攻击者也拿不到 root。

装fail2ban

fail2ban 会自动封掉反复登录失败的 IP，爆破脚本试几次就被封，安全多一层。

一句话总结

SSH 上线就改端口、换密钥登录、禁密码禁 root，装 fail2ban 自动封爆破 IP。

装fail2ban

fail2ban 会自动封掉反复登录失败的 IP，爆破脚本试几次就被封，安全多一层。

一句话总结

SSH 上线就改端口、换密钥登录、禁密码禁 root，装 fail2ban 自动封爆破 IP。

SSH 加固完整清单

• 改默认 22 端口为高位随机端口。
• 禁用 root 直接登录，用普通用户 sudo。
• 只允许密钥登录，关掉密码登录。
• 装 fail2ban 自动封爆破 IP。

SSH 是服务器的大门，弱密码的机器几天就被爆破。上线第一天就把这套加固做了，别等被黑了才补救。改端口前记得在安全组放行新端口，不然把自己关门外。

SSH 加固完整清单

• 改默认 22 端口为高位随机端口。
• 禁用 root 直接登录，用普通用户 sudo。
• 只允许密钥登录，关掉密码登录。
• 装 fail2ban 自动封爆破 IP。

SSH 是服务器的大门，弱密码的机器几天就被爆破。上线第一天就把这套加固做了，别等被黑了才补救。改端口前记得在安全组放行新端口，不然把自己关门外。