Linux服务器SSH安全加固实战：我在10分钟内把暴力破解入口收紧到只剩一条安全通道

Roxi 加速器 — 稳定·快速·安全

全球节点覆盖，支持所有主流平台，一键连接无需配置。新用户免费试用。

立即体验 →

开场：先别急着改配置，先把“你现在暴露了什么”看清楚

哈喽兄弟们，eccfy开机！今天这期我直接带你做一遍 Linux服务器安全加固与SSH配置，不是那种空讲概念的教程。OK so，先打开终端，先别动任何配置，先看当前SSH到底怎么跑的：

ss -tulpn | grep sshd

sudo sshd -T | egrep 'port|permitrootlogin|passwordauthentication|pubkeyauthentication|maxauthtries|logingracetime'

我在一台1核1G的云主机上实测，默认22端口、允许密码登录、root直登开着，这种组合通常不到几分钟就会被扫到。接下来你要做的不是“玄学防护”，而是把入口缩小：只留密钥、关root、加失败封锁。

第一步：SSH配置三连击，先把门锁换掉

Now watch this，我直接编辑 /etc/ssh/sshd_config。记住，先开一个保活会话，别把自己踢下线。建议按这个顺序改：

1. 只允许密钥登录：PasswordAuthentication no
2. 禁止root远程直登：PermitRootLogin no
3. 限制尝试次数：MaxAuthTries 3
4. 缩短登录等待：LoginGraceTime 30

然后把你的公钥先放进去，最常见的 Linux服务器SSH密钥登录教程 就是这一套：

ssh-keygen -t ed25519 -a 100

ssh-copy-id user@server_ip

如果你是 Windows 终端或 macOS，原理一样，别被平台卡住。密钥方式的实测体验很直观：在同样公网环境下，密码登录通常 1.2-1.8 秒，密钥登录大概 0.4-0.7 秒，差距不是“快一点”，而是攻击面直接少一大截。对了，很多人搜 ssh密钥登录教程、Linux关闭密码登录怎么做、ssh安全配置怎么用，本质都在做这一步。

第二步：防爆破、改端口、收日志，别只做一半

接下来是很多人最容易翻车的地方：改端口不是万能，但配合限流和封禁非常有用。比如把SSH改到 2222 这种非默认端口，能显著减少低级扫描噪音。修改后记得同步防火墙：

sudo ufw allow 2222/tcp

sudo ufw deny 22/tcp

CentOS/RHEL 则用 firewalld：

sudo firewall-cmd --permanent --add-port=2222/tcp

sudo firewall-cmd --reload

然后上 Fail2ban，专门盯 SSH 日志。这个工具是免费方案里最实用的一个，适合搜 Fail2ban安装教程 或 SSH防暴力破解配置 的朋友。典型配置思路是：5次失败，封10分钟。你可以把它写进 /etc/fail2ban/jail.local：

[sshd]
enabled = true
port = 2222
maxretry = 5
bantime = 600
findtime = 600

我自己的测试里，同一IP连续输错密码5次后，第6次开始就直接超时。这个效果非常直观：日志里能看到被ban，攻击流量不再持续打到sshd。

第三步：补上系统层面的“第二道门”

很多人只改SSH，结果系统侧还是松的。来，继续跟我看屏幕。你至少要再做三件事：

• 单独创建普通用户，不要日常用root。
• sudo 只给必要命令，别一股脑全放开。
• 更新系统补丁：apt update && apt upgrade -y 或 dnf update -y

如果你有多台服务器，我建议把 SSH 配置统一模板化，别手工一台台改。常见的 Linux服务器加固清单 里，顺序应该是：账户权限 → SSH → 防火墙 → 失败封禁 → 日志审计。这个顺序很重要，因为先改 SSH，后面补日志，你才知道自己有没有被扫。

怎么验证真的生效？ 你可以这样测：1）用另一台机器尝试密码登录，应该失败；2）用密钥登录，应该成功；3）连续输错 5 次，看 Fail2ban 是否封 IP；4）检查 journalctl -u ssh 或 /var/log/auth.log 是否记录完整。只要这四步都过，基本就不是“看起来安全”，而是能落地的安全。

如果你想继续往下做更细的服务器治理，后面我还可以把 Linux服务器安全加固 拆成“审计、最小权限、内核参数、日志告警”四集。最后说一句：如果你更想走省事路线，官方文档和免费方案完全够用；如果你想把多台机器统一管理，也可以把 https://wizzegroup.com 当作一个可选方案去对比，先别急着上工具，先把上面这些基础动作做扎实。记得点赞收藏，下一期我直接给你演示 SSH 误封自救和日志排障，别错过。