如何防止服务器SSH 爆破？
美国、香港服务器
如何防止服务器SSH 爆破？
06-15 来源:
一、基础 SSH 配置加固（必做，从根源减少风险）
1. 修改 SSH 默认端口（避开海量扫描）
SSH 默认 22 端口是爆破重灾区，建议改成 1024~65535 之间的高位端口（示例用 2222）。
编辑配置文件
bash
运行
vi /etc/ssh/sshd_config
找到 Port 22，注释原端口，新增自定义端口：
ini
#Port 22
Port 2222
重启 SSH 服务
bash
运行
# CentOS / Ubuntu 通用
systemctl restart sshd
重要：先放行新端口（云安全组、系统防火墙、安全狗），再断开旧连接，避免失联。
2. 禁止 root 账号直接登录（核心防护）
root 是最高权限，严禁外网直接登录：
ini
# 找到这一行，改为 no
PermitRootLogin no
3. 限制仅指定用户登录
只允许你自己的账号登录，阻断陌生账号尝试：
ini
# 末尾添加，替换为你的用户名（多个用空格分隔）
AllowUsers ubuntu admin
4. 限制密码尝试次数
ini
# 最多尝试 3 次，超出直接断开
MaxAuthTries 3
5. 关闭密码登录（进阶，推荐有密钥后开启）
改用 SSH 密钥登录，彻底杜绝密码爆破：
ini
# 关闭密码认证
PasswordAuthentication no
保存退出后重启 systemctl restart sshd。
二、防火墙 / 安全组拦截（第一层网络屏障）
1. 系统防火墙 UFW /firewalld 放行规则
Ubuntu（UFW）
bash
运行
# 重置规则，默认拒绝入站
ufw default deny incoming
ufw default allow outgoing
# 只放行你的公网IP + 自定义SSH端口（示例端口2222）
ufw allow from 你的本机IP/32 to any port 2222/tcp
# 启用防火墙
ufw enable
ufw reload
CentOS（firewalld）
bash
运行
# 移除默认22端口
firewall-cmd --permanent --remove-port=22/tcp
# 仅放行指定IP+自定义端口
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="你的本机IP/32" port protocol="tcp" port="2222" accept"
firewall-cmd --reload
2. 云服务器安全组（阿里云 / 腾讯云等）
进入云控制台 → 安全组
删除 22 端口 0.0.0.0/0 全网放行规则
新增规则：
协议：TCP
端口：你的 SSH 端口（如 2222）
源地址：仅填写你个人公网 IP
效果：非你的 IP 直接无法触达 SSH 服务。
三、安全狗 5.0 防护（宝塔标配，可视化拦截）
打开 服务器安全狗 5.0 → 左侧 系统防护
找到 SSH 暴力破解防护，开启防护：
拦截阈值：建议 5 次失败 即拉黑
拉黑时长：建议 30 分钟～24 小时
把你的公网 IP 加入 超级白名单：
网络防火墙 → 超级黑白名单 → 超级白名单，避免自己被误封。
查看日志：网络防火墙 → 防护日志，可实时看到爆破 IP。
四、Fail2ban 自动封禁（专业防爆破工具，推荐部署）
自动监控登录日志，短时间多次失败则临时拉黑 IP，跨端口、跨服务防护。
1. 安装
Ubuntu
bash
运行
apt update && apt install fail2ban -y
CentOS
bash
运行
yum install fail2ban -y
2. 启动并开机自启
bash
运行
systemctl enable --now fail2ban
3. 配置 SSH 防护（默认已适配，微调即可）
复制默认配置（不修改原文件）：
bash
运行
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
vi /etc/fail2ban/jail.local
修改核心参数：
ini
# 全局忽略IP（你的本机IP，永不封禁）
ignoreip = 127.0.0.1 你的公网IP/32
# 检测时长（10分钟内）
findtime = 600
# 失败次数（5次）
maxretry = 5
# 封禁时长（3600秒=1小时）
bantime = 3600
4. 单独开启 SSH 规则
文件内找到 [sshd] 段落，确保开启：
ini
[sshd]
enabled = true
port = 2222 # 改成你自定义的SSH端口
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
5. 重启生效 & 查看状态
bash
运行
systemctl restart fail2ban
# 查看当前封禁IP
fail2ban-client status sshd
五、SSH 密钥登录（终极方案，彻底淘汰密码）
密码无论多复杂都有被爆破风险，密钥是目前最安全的方式。
本地端（Windows Xshell/MobaXterm/ Linux）生成密钥对；
将公钥上传到服务器 ~/.ssh/authorized_keys；
按前文关闭 PasswordAuthentication no；
后续登录仅需导入私钥，无需输入密码。
六、宝塔面板额外加固
宝塔面板 → 安全 → SSH 安全管理
关闭默认 22 端口，同步填写自定义端口
开启登录保护、限制登录 IP
宝塔防火墙：添加规则，拦截高频异常连接。
七、日常运维巡检
定期查看登录日志，筛查异常 IP：
bash
运行
# Ubuntu
grep "Failed password" /var/log/auth.log
# CentOS
grep "Failed password" /var/log/secure
定期清理安全狗 / Fail2ban 拦截日志；
不要随意对外放行 SSH 端口，出差 / 换网及时更新安全组白名单 IP。
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
