在CentOS系统中,SSH（Secure Shell）是一种常用的远程管理工具，默认使用22端口进行连接，出于安全考虑，修改默认端口是一种常见的防护措施，本文将详细介绍CentOS系统中SSH端口22的相关配置、安全优化及故障排查方法，帮助用户更好地管理和保护服务器。
SSH默认端口22的作用与风险
SSH端口22是远程登录服务的默认入口,便于管理员快速访问服务器，但正因为其广泛使用，22端口也成为黑客攻击的常见目标，自动化扫描工具会频繁尝试通过22端口进行暴力破解，若未设置强密码或密钥认证，服务器极易被入侵，理解22端口的潜在风险是系统安全的第一步。
检查当前SSH端口配置
在修改或优化SSH配置前,需先确认当前端口设置，通过编辑SSH主配置文件/etc/ssh/sshd_config，可以找到Port指令的值，若未显式指定，则默认为22，使用命令grep "^Port" /etc/ssh/sshd_config可直接查看当前端口，通过netstat -tuln | grep 22或ss -tuln | grep 22可验证端口是否正在监听。
修改SSH端口以提高安全性
为降低被攻击的风险,建议将SSH端口修改为非默认值（如2222），操作步骤如下：
- 编辑
/etc/ssh/sshd_config文件，将Port 22改为Port 新端口号，并确保新端口未被其他服务占用。 - 保存文件后,重启SSH服务：
systemctl restart sshd。 - 验证新端口是否生效：
ss -tuln | grep 新端口号。 - 配置防火墙允许新端口的流量,
firewall-cmd --permanent --add-port=新端口号/tcp并重载防火墙。
防火墙与SELinux对SSH端口的影响
CentOS默认使用firewalld管理防火墙规则,需确保SSH端口（无论默认或自定义）已添加到允许列表中，执行firewall-cmd --list-ports可查看已开放端口，若使用iptables，则需通过-A INPUT -p tcp --dport 端口号 -j ACCEPT添加规则，SELinux可能阻止SSH连接，需检查/var/log/audit/audit.log中的拒绝日志，并通过semanage port -a -t ssh_port_t -p tcp 新端口号添加SELinux策略。
SSH端口22的访问控制策略
除了修改端口,限制IP访问是提升安全性的有效手段，在/etc/ssh/sshd_config中，通过AllowUsers或AllowHosts指令指定允许的用户或IP地址。AllowUsers admin@192.168.1.100仅允许该IP的admin用户登录，结合TCP Wrappers（/etc/hosts.allow和/etc/hosts.deny），可进一步精细化访问控制。
密码认证与密钥认证的优化
默认情况下,SSH支持密码和密钥两种认证方式，为增强安全性，建议禁用密码认证，仅允许密钥登录，在配置文件中设置PasswordAuthentication no，并确保PubkeyAuthentication yes，为密钥设置强 passphrase，避免密钥泄露风险，生成密钥对可通过ssh-keygen -t rsa -b 4096完成。
常见SSH端口连接问题及解决
若无法通过SSH连接服务器,可按以下步骤排查：
- 检查SSH服务状态：
systemctl status sshd，确保服务运行正常。 - 验证端口是否监听：
netstat -tuln | grep 端口号。 - 查看防火墙和SELinux日志,确认无规则拦截。
- 尝试使用
ssh -v user@ip -p 端口号获取详细错误信息，定位问题根源。
相关问答FAQs
Q1: 修改SSH端口后如何确保自己不会锁在外部？
A: 修改端口前，务必先开放新端口的防火墙规则，并在新终端窗口测试连接成功后再关闭22端口，建议保留一个已认证的SSH会话，以便在配置错误时及时恢复。
Q2: 为什么修改SSH端口后仍被扫描攻击？
A: 攻击者可能通过服务版本检测或其他端口扫描工具发现新端口，若服务器存在其他漏洞（如弱密码或未修复的服务），仍可能被攻击，修改端口仅是基础防护，需结合强密码策略、密钥认证及入侵检测系统（如Fail2ban）全面加固。