1. 前言
本文主要講解如何修改CentOS 7默認的SSH埠號。
ssh協議默認埠號為TCP 22，這個埠也是埠掃描軟體重點掃描的對象，也是黑客最感興趣的埠號之一。
2. 修改ssh配置文件
[root@zcwyou ~]# vi /etc/ssh/sshd_config
修改 ssh埠
取消 #Port 22 的注釋，在下一行添加你需要修改的新埠 Port 2048。（這裡不刪除 22 埠是為了防止修改後新埠無法訪問，造成無法用 ssh 連接伺服器。）
配置文件應該有這樣兩行
Port 22
Port 2048
修改保存 sshd_config 文件後重啟 sshd 服務：
[root@zcwyou ~]# systemctl restart sshd
退出 ssh 會話後，再用新的埠連接：
假設你使用Linux連接到伺服器：
[root@zcwyou ~]# ssh -p 2048 [email protected]
如果你是使用Windows+Xshell或者SecureCRT，則需要在SSH客戶端軟體里修改TCP埠為2048,。
使用新的SSH埠登錄Linux
得出以下結論：
ssh: connect to host 0.0.0.0 port 2048: Connection refused
連接被拒絕，表明CentOS 7這一套修改埠的方法已經不能生效了。因為CentOS7還需要配置SElinux。
3. 設置SElinux允許使用SSH新埠
打開 SELinux 埠
SELinux 全稱 Security Enhanced Linux (安全強化 Linux)，是 MAC (Mandatory Access Control，強制訪問控制系統)的一個實現，目的在於明確的指明某個進程可以訪問哪些資源(文件、網絡埠等)。
對於 ssh，SELinux 默認只允許 22 埠，我們可以用 SELinux 管理配置工具 semanage，來修改 ssh 可訪問的埠。
安裝 semanage 工具
[root@zcwyou ~]# yum provides semanage
[root@zcwyou ~]# yum -y install policycoreutils-python
為 ssh 添加新的允許埠
[root@zcwyou ~]# semanage port -a -t ssh_port_t -p tcp 2048
查看當前 SELinux 允許的埠
[root@zcwyou ~]# semanage port -l | grep ssh
ssh_port_t tcp 2048, 22
錯誤處理
當 SELINUX 配置為禁用狀態時，使用 semanage 會報錯提示無法讀取 policy 文件：
SELinux: Could not downgrade policy file /etc/selinux/targeted/policy/policy.30, searching for an older version.
SELinux: Could not open policy file <= /etc/selinux/targeted/policy/policy.30: No such file or directory
/sbin/load_policy: Can't load policy: No such file or directory
libsemanage.semanage_reload_policy: load_policy returned error code 2. (No such file or directory).
FileNotFoundError: [Errno 2] No such file or directory
修改 /etc/selinux/config 配置，啟用 SELinux：
[root@zcwyou ~]# vi /etc/selinux/config
SELINUX=permissive
重啟伺服器
[root@zcwyou ~]# init 6
重啟後查看 SELinux 狀態
[root@zcwyou ~]# sestatus
檢查配置：
[root@zcwyou ~]# semanage port -a -t ssh_port_t -p tcp 2048
[root@zcwyou ~]# semanage port -l | grep ssh
ssh_port_t tcp 2048, 22
重啟 ssh 服務
[root@zcwyou ~]# systemctl restart sshd
註：semange 不能禁用 ssh 的 22 埠：
[root@zcwyou ~]# semanage port -d -t ssh_port_t -p tcp 22
ValueError: 在策略中定義了埠 tcp/22，無法刪除。
4. 配置防火牆 firewalld
CentOS-7-SSH-port-configuration-03.png
啟用防火牆 && 查看防火牆狀態：[root@zcwyou ~]# systemctl enable firewalld
[root@zcwyou ~]# systemctl start firewalld
[root@zcwyou ~]# systemctl status firewalld
firewalld.service - firewalld - dynamic firewall daemon
Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)
Active: active (running) since 二 2016-12-20 02:12:59 CST; 1 day 13h ago
Main PID: 10379 (firewalld)
CGroup: /system.slice/firewalld.service
└─10379 /usr/bin/python -Es /usr/sbin/firewalld --nofork --nopid
[root@zcwyou ~]# firewall-cmd --state
running
查看防火牆當前默認和激活zone（區域）：
[root@zcwyou ~]# firewall-cmd --get-default-zone
public
[root@zcwyou ~]# firewall-cmd --get-active-zones
public
interfaces: eth0 eth1
若沒有激活區域的話，要執行下面的命令。
激活 public 區域，增加網卡接口，假設你的埠號為eth0，使用ip addr命令查看網卡標識號：
[root@zcwyou ~]# firewall-cmd --set-default-zone=public
[root@zcwyou ~]# firewall-cmd --zone=public --add-interface=eth0
success
假設eth1也加入public區域
[root@zcwyou ~]# firewall-cmd --zone=public --add-interface=eth1
success
為 public zone 永久開放 2048/TCP 埠：
以防新埠不生效，先把 22 埠暴露
[root@zcwyou ~]# firewall-cmd --permanent --zone=public --add-port=22/tcp
[root@zcwyou ~]# firewall-cmd --permanent --zone=public --add-port=2048/tcp
success
重載防火牆
[root@zcwyou ~]# firewall-cmd --reload
查看暴露埠規則
[root@zcwyou ~]# firewall-cmd --permanent --list-port
443/tcp 80/tcp 22/tcp 2048/tcp
[root@zcwyou ~]# firewall-cmd --zone=public --list-all
public (default, active)
interfaces: eth0 eth1
sources:
services: dhcpv6-client ssh
ports: 443/tcp 80/tcp 22/tcp 2048/tcp
masquerade: no
forward-ports:
icmp-blocks:
rich rules:
退出 ssh 後，嘗試連接新埠
[root@zcwyou ~]# ssh -p 2048 [email protected]
成功登錄的話，就可以做收尾工作了。
5. 禁用TCP 22 埠
刪除 ssh 允許埠
[root@zcwyou ~]# vi /etc/ssh/sshd_config
Port 22
Port 2048
即在Port 22前面加#號
重啟SSH服務
[root@zcwyou ~]# systemctl restart sshd
用 ss 命令檢查 ssh 監聽的埠，沒有看到22 證明修改成功
[root@zcwyou ~]# ss -tnlp | grep ssh
LISTEN 0 128 *:2048 *:* users:(("sshd",18233,3))
防火牆移除 22 埠
[root@zcwyou ~]# firewall-cmd --permanent --zone=public --remove-port=22/tcp
success
重載防火牆配置
[root@zcwyou ~]# firewall-cmd --reload
查看永久生效的埠號
[root@zcwyou ~]# firewall-cmd --permanent --list-port
443/tcp 80/tcp 2048/tcp
ssh 取消監聽 22 埠，就已經配置好了，防火牆只不過是在 ssh 外多一層訪問限制。
檢驗修改 ssh 埠是否成功：
[root@zcwyou ~]# ssh -p 22 [email protected]
無響應，因為埠號已經改變了。
試試使用TCP 2048埠連接
[root@zcwyou ~]# ssh -p 2048 [email protected]
成功 success
6. 總結
至此，我們已經成功修改了linux默認的ssh埠，由22改為2048,提升了系統安全，使得埠掃描工具無法推測出SSH的連接埠。