Выбор нестандартного порта для SSH-сервера

материал № 12485

По умолчанию SSH работает на 22 порте.

Если вы уже работаете с хостом по SSH и другого способа подключиться к хосту нет, то прежде, чем менять порт, необходимо добавить новый номер порта в исключения файервола, который используется в системе. Как это сделать, смотрите дальше по тексту. Иначе, после смены порты вы не сможете подключиться к своему серверу по SSH, т.к. новый порт будет заблокирован файерволлом.

Изменить порт на другой можно в конфигурационном файле сервиса. Путь /etc/ssh/sshd_config (для CentOS 8).

Если место нахождения файла неизвестно, то можно его поискать по его имени: sudo find / -name "sshd_config".

Если файл не находится, то можно поискать по его содержимому: sudo grep -r "ssh_host" / - поиск будет вестись, начиная с корневой папки по содержимому "ssh_host", которое должно быть в конфигурационном файле.

После того, как конфигурационный файл найден, в нем необходимо найти запись Port 22, которая может быть как активной, так и закомментированной. В любом случае на данный момент используется 22 порт.

Для смены порта, необходимо раскомментировать данную строку (если она закомментирована) и установить требуемое значение порта. Значение это может быть произвольным, но должно быть больше или равно 1024. Для того, чтобы посмотреть используемые порты в системе и выбрать гарантированно свободный порт, можно выполнить команду sudo netstat -tupln, которая покажет список занятых портов. После смены порта, при помощи этой же команды можно посмотреть, поменялся ли порт.

После изменения сохраняем файл. Необходимо перезапустить демон (сервис) SSHD sudo systemctl restart sshd, либо sudo service sshd restart. Если перезапуск демона не помог, то может помочь перезагрузка всей ОС.

Добавление нового порта в исключения файерволов, если какой-либо из них работает:

Для файеровола UFV: sudo ufw allow XXXX/tcp, где XXXX - номер порта.

Для iptables: sudo /sbin/iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport XXXX -j ACCEPT, где XXXX - номер порта.

Для firewalld (CentOS, Rocky-, Alma- Linux и т.п.):

sudo firewall-cmd --permanent --add-port=XXXX/tcp
sudo firewall-cmd --reload, где XXXX - номер порта.

Для SELinux:

sudo semanage port -a -t ssh_port_t -p tcp XXXX, где XXXX - номер порта.
semanage port -l | grep ssh - проверка того, что новый порт был успешно добавлен в исключения.