新手搭服务器必看：做好服务器SSH防护防黑客入侵

说出来你不信，我刚接触服务器那会，头铁得像村口石狮子，别人说要做服务器SSH防护，我左耳朵进右耳朵出，不就是个登录入口吗？我一个搭小博客的，黑客能看上我啥？结果不到半个月，我登服务器一看，人给我装了仨挖矿木马，博客数据全给我删了，我蹲在电脑面前抽了半盒烟，才肯承认我是个傻子——这坑我替你们踩过了，今天就给你们唠唠真能用的服务器SSH防护干货，全是不花钱的土招，好使。

为啥你的服务器天天被撬？没做服务器SSH防护啊

咱们先把话说透，你买了服务器，就相当于你在网上租了个小铺子，你要放自己的东西、改自己的装修，就得靠SSH进服务器，SSH就是你铺子的大门。那黑客是什么？就是天天在街上晃，挨家挨户推门看有没有没锁的流窜小偷，人家都是批量扫IP扫端口，根本不管你是大公司的商铺还是个人的小杂货铺，只要门没锁，直接进来搬东西，占着你的铺子挖矿，赚他的钱，花你的带宽电费，你找谁哭去？

我当初就是啥也不懂，默认开着22端口，用root登录，密码还设成了123456，这不就是把大门敞着，钥匙插在锁孔上，贴个牌子写着“欢迎小偷进门”吗？现在想想，我没被黑真是不正常，做服务器SSH防护真不是大佬才需要的，你只要有服务器，就得做，这是底线。

过来人亲测有用的服务器SSH防护操作，五分钟一步

第一步：先挪大门位置，改默认SSH端口

默认SSH端口是22，全天下的黑客脚本都知道，天天扫这个端口，你只要开着服，不出三天就能有人来试密码。做这一步服务器SSH防护，就是把大门从正街挪到后院，大部分脚本直接就找不到你门在哪了，成本为零，效果拉满。

操作也超简单，改个配置文件就行：

``` 编辑SSH配置文件 vi /etc/ssh/sshd_config 找到Port 22这一行，去掉注释，改成你想要的端口，比如Port 22222 改完保存退出，重启SSH服务生效 systemctl restart sshd ```

重点提醒：改完端口一定要先去云服务商的安全组开新端口，确认能登录之后再关旧的22端口！不然你自己也进不去，哭都没地方开门！

这是服务器SSH防护最基础的一步，也是性价比最高的一步，别嫌麻烦，五分钟搞定，帮你挡掉80%的扫端口脚本，血赚。

第二步：别用root开门，禁root远程登录

root是什么？是你服务器的最高权限钥匙，拿到root就能直接把你铺子拆了。做这一步服务器SSH防护，就是哪怕小偷拿到了普通用户的钥匙，也拿不到拆铺子的万能钥匙，翻不了天。

操作也简单：先新建一个普通用户，给它加上sudo权限，之后你就用这个普通用户登录，需要root权限再输密码提权，然后改配置文件禁root远程登录：

在sshd_config里把PermitRootLogin改成no，重启SSH就完事了。别跟我说你用root习惯了不想改，真等小偷拿到你的root账号，啥服务器SSH防护都救不了你，五分钟的事，别偷懒。

第三步：扔了密码锁，换指纹锁——开密钥登录

密码说白了就是普通挂锁，小偷拿个暴力破解工具，一天能试几十万组密码，只要你的密码不是长到离谱，总有被试出来的一天。密钥是什么？是带你专属指纹的智能锁，没有你的私钥，神仙都进不来，这才是服务器SSH防护的核心杀招。

操作就是在你自己的本地电脑生成密钥对，把公钥传到服务器上，然后改配置禁用密码登录：把sshd_config里的PasswordAuthentication改成no就行。

很多人说密钥麻烦，怕弄丢，其实你把私钥存在自己电脑，备份一份到加密云盘，根本丢不了，开了密钥登录之后，哪怕你忘了改端口，小偷也碰不到你服务器一根毛，做了这一步，你的服务器SSH防护直接就拉到90分了。

第四步：再加个保安看门，装fail2ban防暴力破解

哪怕你前面三步都做了，加个fail2ban相当于给大门外雇个保安，只要有人连续输错密码超过三次，直接给他封IP，连试的机会都没有，这是给服务器SSH防护再加最后一道保险，免费又好用。

安装也超简单，centos直接yum install fail2ban，ubuntu就apt install fail2ban，开了ssh防护规则就行，剩下的它自动帮你盯着，不用你管。

服务器SSH防护做完，说句掏心窝的土味正能量

我见过太多新手跟我当初一样，说“我就是搭个小玩意儿，没人看得上我，犯不着做服务器SSH防护”，我告诉你，这就是纯纯的头铁找坑。黑客扫IP都是批量的，一天扫几万个，管你是大业务还是小玩具，只要门没锁，进来就薅，挖不了矿也给你挂个黑页，删你数据，恶心死你。

你想想，你花好几个月写的博客，攒的资料，跑了大半年的小项目，就因为你没花一下午做服务器SSH防护，全没了，值吗？现在云服务器几块钱一个月，但是你的数据值钱啊！

我这些操作全是我被黑了之后，踩了无数坑试出来的，重新搭服务器的时候把这些服务器SSH防护全做了，到现在三四年了，从来没出过事，真的，服务器SSH防护就是防患于未然，你一下午就能全做完，以后好几年不用操心，这不比你被黑了之后熬夜找数据，哭着还原香吗？

最后再唠一句：别觉得自己运气好，黑客找不到你，你不做服务器SSH防护，就是裸奔在大街上，被偷只是时间问题。做好服务器SSH防护，开开心心玩服务器，啥事没有，这买卖，怎么算都赚啊兄弟！