服务器防黑加固指南：SSH端口隐藏、Fail2ban与密钥登录
前言：安全是第一生产力
你的服务器在互联网上裸露的每一秒，都可能有无数的自动化脚本在尝试暴力破解。它们不断地扫描公网IP，尝试用默认密码或常见组合登录SSH。一旦成功，你的服务器就会沦为“肉鸡”，成为挖矿、DDoS攻击或数据窃取的帮凶。
安全加固不是一项可选任务，而是服务器上线后的必需步骤。本文将通过三大核心措施：SSH端口隐藏、Fail2ban主动防御和密钥登录，为你构建一道坚固的服务器防线。
一、第一道防线：告别默认端口，隐藏SSH服务
1. 修改默认SSH端口（22）
这是最简单、最立即生效的防护措施。自动化脚本大多只扫描22端口，修改端口能过滤掉90%以上的无意义攻击流量。
操作步骤：
编辑SSH配置文件：
sudo vim /etc/ssh/sshd_config
找到 #Port 22 这一行，取消注释并将 22 修改为一个1024到65535之间的非知名端口（例如 58239）。
# 将 #Port 22 改为：
Port 58239
建议保留Port 22并注释掉，作为配置错误的备用方案，等新端口确认可用后再删除。
保存文件后，重启SSH服务使配置生效：
sudo systemctl restart sshd
⚠️ 重要警告：不要立即关闭当前连接！ 打开一个新的终端窗口，使用新端口尝试连接服务器，确认成功后再退出当前会话。
ssh -p 58239 your_username@your_server_ip
2. 使用防火墙强化：仅允许特定IP访问（可选）
如果你有固定的办公网络IP，这是最安全的方式。
# 假设新SSH端口是 58239，你的公网IP是 123.123.123.123
sudo ufw a
