1. 前言

本文主要講解如何修改CentOS 7默認的SSH端口號。

ssh協議默認端口號為TCP 22，這個端口也是端口掃描軟件重點掃描的對象，也是黑客最感興趣的端口號之一。

2. 修改ssh配置文件

[root@zcwyou ~]# vi /etc/ssh/sshd_config

修改 ssh端口

取消 #Port 22 的註釋，在下一行添加你需要修改的新端口 Port 2048。（這裡不刪除 22 端口是為了防止修改後新端口無法訪問，造成無法用 ssh 連接服務器。）

配置文件應該有這樣兩行

Port 22

Port 2048

修改保存 sshd_config 文件後重啟 sshd 服務：

[root@zcwyou ~]# systemctl restart sshd

退出 ssh 會話後，再用新的端口連接：

假設你使用Linux連接到服務器：

[root@zcwyou ~]# ssh -p 2048 [email protected]

如果你是使用Windows+Xshell或者SecureCRT，則需要在SSH客戶端軟件裡修改TCP端口為2048,。

使用新的SSH端口登錄Linux

得出以下結論：

ssh: connect to host 0.0.0.0 port 2048: Connection refused

連接被拒絕，表明CentOS 7這一套修改端口的方法已經不能生效了。因為CentOS7還需要配置SElinux。

3. 設置SElinux允許使用SSH新端口

打開 SELinux 端口

SELinux 全稱 Security Enhanced Linux (安全強化 Linux)，是 MAC (Mandatory Access Control，強制訪問控制系統)的一個實現，目的在於明確的指明某個進程可以訪問哪些資源(文件、網絡端口等)。

對於 ssh，SELinux 默認只允許 22 端口，我們可以用 SELinux 管理配置工具 semanage，來修改 ssh 可訪問的端口。

安裝 semanage 工具

[root@zcwyou ~]# yum provides semanage
[root@zcwyou ~]# yum -y install policycoreutils-python

為 ssh 添加新的允許端口

[root@zcwyou ~]# semanage port -a -t ssh_port_t -p tcp 2048

查看當前 SELinux 允許的端口

[root@zcwyou ~]# semanage port -l | grep ssh 

ssh_port_t tcp 2048, 22

錯誤處理

當 SELINUX 配置為禁用狀態時，使用 semanage 會報錯提示無法讀取 policy 文件：

SELinux: Could not downgrade policy file /etc/selinux/targeted/policy/policy.30, searching for an older version.

SELinux: Could not open policy file <= /etc/selinux/targeted/policy/policy.30: No such file or directory

/sbin/load_policy: Can't load policy: No such file or directory

libsemanage.semanage_reload_policy: load_policy returned error code 2. (No such file or directory).

FileNotFoundError: [Errno 2] No such file or directory

修改 /etc/selinux/config 配置，啟用 SELinux：

[root@zcwyou ~]# vi /etc/selinux/config

SELINUX=permissive

重啟服務器

[root@zcwyou ~]# init 6

重啟後查看 SELinux 狀態

[root@zcwyou ~]# sestatus

檢查配置：

[root@zcwyou ~]# semanage port -a -t ssh_port_t -p tcp 2048
[root@zcwyou ~]# semanage port -l | grep ssh

ssh_port_t tcp 2048, 22

重啟 ssh 服務

[root@zcwyou ~]# systemctl restart sshd

注：semange 不能禁用 ssh 的 22 端口：

[root@zcwyou ~]# semanage port -d -t ssh_port_t -p tcp 22

ValueError: 在策略中定義了端口 tcp/22，無法刪除。

4. 配置防火牆 firewalld

CentOS-7-SSH-port-configuration-03.png

啟用防火牆 && 查看防火牆狀態：[root@zcwyou ~]# systemctl enable firewalld 

[root@zcwyou ~]# systemctl start firewalld
[root@zcwyou ~]# systemctl status firewalld

● firewalld.service - firewalld - dynamic firewall daemon

Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)

Active: active (running) since 二 2016-12-20 02:12:59 CST; 1 day 13h ago

Main PID: 10379 (firewalld)

CGroup: /system.slice/firewalld.service

└─10379 /usr/bin/python -Es /usr/sbin/firewalld --nofork --nopid

[root@zcwyou ~]# firewall-cmd --state

running

查看防火牆當前默認和激活zone（區域）：

[root@zcwyou ~]# firewall-cmd --get-default-zone

public

[root@zcwyou ~]# firewall-cmd --get-active-zones

public

interfaces: eth0 eth1

若沒有激活區域的話，要執行下面的命令。

激活 public 區域，增加網卡接口，假設你的端口號為eth0，使用ip addr命令查看網卡標識號：

[root@zcwyou ~]# firewall-cmd --set-default-zone=public
[root@zcwyou ~]# firewall-cmd --zone=public --add-interface=eth0

success

假設eth1也加入public區域

[root@zcwyou ~]# firewall-cmd --zone=public --add-interface=eth1

success

為 public zone 永久開放 2048/TCP 端口：

以防新端口不生效，先把 22 端口暴露

[root@zcwyou ~]# firewall-cmd --permanent --zone=public --add-port=22/tcp
[root@zcwyou ~]# firewall-cmd --permanent --zone=public --add-port=2048/tcp

success

重載防火牆

[root@zcwyou ~]# firewall-cmd --reload

查看暴露端口規則

[root@zcwyou ~]# firewall-cmd --permanent --list-port

443/tcp 80/tcp 22/tcp 2048/tcp

[root@zcwyou ~]# firewall-cmd --zone=public --list-all

public (default, active)

interfaces: eth0 eth1

sources:

services: dhcpv6-client ssh

ports: 443/tcp 80/tcp 22/tcp 2048/tcp

masquerade: no

forward-ports:

icmp-blocks:

rich rules:

退出 ssh 後，嘗試連接新端口

[root@zcwyou ~]# ssh -p 2048 [email protected]

成功登錄的話，就可以做收尾工作了。

5. 禁用TCP 22 端口

刪除 ssh 允許端口

[root@zcwyou ~]# vi /etc/ssh/sshd_config

Port 22

Port 2048

即在Port 22前面加#號

重啟SSH服務

[root@zcwyou ~]# systemctl restart sshd

用 ss 命令檢查 ssh 監聽的端口，沒有看到22 證明修改成功

[root@zcwyou ~]# ss -tnlp | grep ssh

LISTEN 0 128 *:2048 *:* users:(("sshd",18233,3))

防火牆移除 22 端口

[root@zcwyou ~]# firewall-cmd --permanent --zone=public --remove-port=22/tcp

success

重載防火牆配置

[root@zcwyou ~]# firewall-cmd --reload

查看永久生效的端口號

[root@zcwyou ~]# firewall-cmd --permanent --list-port

443/tcp 80/tcp 2048/tcp

ssh 取消監聽 22 端口，就已經配置好了，防火牆只不過是在 ssh 外多一層訪問限制。

檢驗修改 ssh 端口是否成功：

[root@zcwyou ~]# ssh -p 22 [email protected]

無響應，因為端口號已經改變了。

試試使用TCP 2048端口連接

[root@zcwyou ~]# ssh -p 2048 [email protected]

成功 success

6. 總結

至此，我們已經成功修改了linux默認的ssh端口，由22改為2048,提升了系統安全，使得端口掃描工具無法推測出SSH的連接端口。