SSH老被暴力破解？禁root登录改端口，安全加固一次配好

登录服务器一看日志，满屏都是SSH暴力破解尝试，吓出一身汗。默认root账号、默认22端口、弱密码，等于把门开着让人撞。小编实测把SSH加固：禁root登录、改端口、强制密钥，爆破记录基本绝迹。这篇讲SSH安全加固。

服务器安全第一位，这两家海外主机自带防护和稳定线路：Fiberstate（海外服务器）、AAITR（云主机）。

先懂SSH有哪些风险

SSH默认root+22端口+密码登录，全球扫描器天天撞。root被攻破就整台机器沦陷。弱密码一撞就开。默认22端口目标明确。加固思路：减少暴露面、加强验证。知道风险，才知道改什么。

第一步：禁用root登录

在/etc/ssh/sshd_config里设PermitRootLogin no，禁止root直接SSH登录。先建一个普通管理账号，给sudo权限，日常用它登录，需要root再sudo提权。这样即使被猜到普通账号，也难拿到root。改完重载sshd。

第二步：修改SSH端口

把22端口改成别的（如2222等高位端口），设Port xxx。扫描器默认扫22，改了它要重新探测，攻击面小很多。改完记得防火墙放行新端口、关掉旧的。自己登录时带上新端口。改端口不是万能，但能挡掉一大批。

第三步：强制密钥登录

生成SSH密钥对，把公钥放到服务器authorized_keys，PasswordAuthentication no禁用密码登录。登录只认密钥，密码猜不到，暴力破解彻底失效。密钥一定要保管好，丢了进不去。这是最扎实的一层，强烈建议做。

再加防护和提醒

配合fail2ban自动封爆破IP，错几次就拉黑。保持系统和sshd更新，补漏洞。改配置前先备份，小心把自己锁在外面。改完用新方式连一次确认能进。别在没把握时断开旧连接。加固到位，服务器安全多了。

总结：禁root登录、修改SSH端口、强制密钥登录、配fail2ban、保持更新并验证，SSH安全就加固到位了。暴力破解挡在外面，服务器才睡得踏实。