服务器SSH协议加固：过来人亲测的超实用防坑指南

家人们谁懂啊，我之前那台天天跑业务的服务器，就因为没上心做服务器SSH协议加固，被黑客按在地上摩擦了好多次——一会儿删我测试数据，一会儿给我装挖矿脚本，搞得我连续三天凌晨三点爬起来查日志，头发都薅掉半筐，工资都差点被扣光！后来我痛定思痛，抱着“再搞不定服务器SSH协议加固我就去送外卖”的决心，翻了N个教程，踩了N个坑，终于摸出一套亲测有效的服务器SSH协议加固方案，今天掏给你们，绝对是干货中的干货！

为啥非得死磕服务器SSH协议加固？全是血的教训！

可能有人会说“我服务器又不搞啥大事，搞服务器SSH协议加固干啥？”我之前也这么想，直到我那台2核2G的服务器被黑客当成“免费矿机”用了半个月——后台CPU直接100%，我还以为是业务高峰期，结果点进去看是Python挖矿脚本在跑！后来查日志才发现，黑客就是用默认的22端口+弱密码“123456”爆破进来的，这时候我才意识到：服务器SSH协议加固不是大厂运维的专利，是咱们所有用服务器的人都要上的“保命符”！就像你租房子，出门不锁门、密码写在门把手上，那不就是等着被偷吗？服务器SSH协议加固就是给你的服务器“装锁、换钥匙、设门禁”，把那些想进来搞事情的黑客统统挡在门外！

服务器SSH协议加固核心操作，全是亲测不踩坑的干货！

1. 换端口？别瞎换，选对端口才是服务器SSH协议加固的第一步！

很多教程一上来就让你改SSH端口，说默认22太危险，这没错，但你别随便选个端口就改！我之前第一次改端口选了22222，结果被另一个脚本盯上了，直接扫到了，差点又被爆破！后来才知道，服务器SSH协议加固里换端口的正确姿势是：选大于1024的非知名端口（比如12345、23456这种，别用10000以下的），因为黑客的扫描器一般只会扫1-1023的知名端口，你选个冷门的，等于把家门从“小区正门”换成了“小区后门的杂物间门”，黑客没那么容易找到！具体操作很简单：首先备份原配置文件（划重点！改坏了能救回来），然后修改/etc/ssh/sshd_config里的Port项，代码如下：

``` 备份SSH配置文件（必做！服务器SSH协议加固第一步） cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak 修改端口为12345（选一个你喜欢的大于1024的端口） sed -i 's/Port 22/Port 12345/g' /etc/ssh/sshd_config 重启SSH服务生效 systemctl restart sshd ```

这波操作是服务器SSH协议加固的“入门级buff”，别嫌简单，真的能挡住80%的自动扫描脚本！

2. 禁root远程登录？这波是服务器SSH协议加固的“稳赚不亏操作”！

之前我傻呵呵的一直用root直接远程登录，觉得方便，结果黑客专门盯着root爆破！后来才知道，服务器SSH协议加固里的这条规则，等于给你的服务器“锁死主卧”——黑客就算撞了进来，也只能进客厅，进不了核心房间！具体操作是改sshd_config里的PermitRootLogin项，改成no：

``` 禁止root远程登录（服务器SSH协议加固必做项） sed -i 's/PermitRootLogin yes/PermitRootLogin no/g' /etc/ssh/sshd_config 同样记得重启SSH服务 systemctl restart sshd ```

之后你登录的时候，要用普通用户登录，然后用su切换到root，虽然多了一步，但安全多了！别嫌麻烦，我那朋友就是因为用root直接登录，被黑客把数据库删了，哭着喊着要给我送奶茶才求我给他救回来，这血的教训还不够吗？

3. 公钥登录？这是服务器SSH协议加固的“天花板操作”！

如果你觉得改端口、禁root还不够，那服务器SSH协议加固里的公钥登录，绝对是“王炸”！公钥登录就像你家的指纹锁，只有录过指纹的人能进，黑客就算知道你的用户名，就算扫到你的服务器，他没有你的私钥，连门都开不了！具体操作是生成密钥对，把公钥传到服务器：

``` 本地生成RSA密钥对（一路回车就行，别设密码太麻烦） ssh-keygen -t rsa -b 4096 把公钥传到服务器的.ssh目录（替换成你的服务器IP和用户名） ssh-copy-id -i ~/.ssh/id_rsa.pub your_username@your_server_ip -p 12345 修改SSH配置，禁止密码登录，只允许公钥登录（服务器SSH协议加固终极操作） sed -i 's/PasswordAuthentication yes/PasswordAuthentication no/g' /etc/ssh/sshd_config 重启SSH服务 systemctl restart sshd ```

我给我的服务器搞了这个之后，再也没有收到过恶意登录的尝试，真的爽！之前半夜被短信吵醒的日子一去不复返，头发都长回来了两根，这波服务器SSH协议加固绝对是“性价比最高的投资”！

服务器SSH协议加固避坑指南，别瞎搞啊家人们！

1. 改配置前一定要备份！不然哭都来不及！

我第一次改服务器SSH协议加固的配置的时候，没备份，结果把端口和root登录都改砸了，远程连不上服务器，差点把我吓死！后来我是用控制台进的系统，还原了备份才救回来的！所以记住：所有服务器SSH协议加固的操作，改配置前先备份，就像你换手机屏前先贴个钢化膜，别嫌麻烦，真的能救命！

2. 别光改配置，定期检查才是服务器SSH协议加固的“终章”！

服务器SSH协议加固不是一劳永逸的，就像你给车做保养，得定期查机油、查轮胎，不然半路抛锚！你要定期看SSH的日志，看有没有恶意登录尝试，日志路径一般是/var/log/auth.log（Debian/Ubuntu）或者/var/log/secure（CentOS），用grep命令就能看：

``` 查看SSH的恶意登录尝试（服务器SSH协议加固定期检查必做） grep "Failed password" /var/log/auth.log | grep -v "your_username" ```

如果看到很多相同IP的恶意尝试，就把这个IP加到防火墙里禁止登录，比如用iptables或者ufw，这也是服务器SSH协议加固的一部分！还有，定期更新SSH的版本，修复已知漏洞，别让黑客有可乘之机！

总结：服务器SSH协议加固，是你服务器的“保命符”！

说了这么多，其实服务器SSH协议加固就是咱们用服务器的人要做的日常操心事，不是啥高大上的技术活，就是把那些基础的规则做好，避开那些坑，就能让你的服务器稳得一批！我之前踩过的坑，流的泪，薅掉的头发，都是为了让你们少走弯路！记住：服务器SSH协议加固不是大厂运维的专利，是咱们普通人保护自己服务器的必备技能，别等到被黑客搞了才后悔，那时候哭都没用！家人们，动动手搞起来服务器SSH协议加固，保住头发，保住数据，保住工资，加油！