linux不支持且不应自动修改ssh端口，因会导致服务中断、防火墙/selinux不同步、攻击者仍可发现，违背纵深防御；应固定高位端口、禁密码启密钥、用fail2ban封ip、ufw默认拒绝。
Linux系统本身不支持“检测到暴力破解就自动修改SSH端口”这种动态切换机制。这不是标准安全实践，也不被OpenSSH或主流防护工具（如fail2ban）所支持。端口是服务监听的静态配置，运行中修改需重启sshd，而频繁重启会中断所有合法连接，极易导致运维锁死，且无法真正提升安全性。
为什么不能也不该自动改端口
自动修改端口看似智能，实则存在严重缺陷：
- 服务中断不可控：每次改端口都必须重启sshd，所有已建立的SSH会话立即断开，包括你正在排查攻击的终端
- 防火墙与SELinux不同步风险高：新端口需同步更新firewalld/iptables、semanage策略，自动脚本极难100%覆盖所有环境细节
- 攻击者不受影响：暴力扫描是广撒网行为，改一个端口只是暂时避开扫描器缓存；若新端口暴露（如日志泄露、配置误传），反而更快被定位
- 违背纵深防御原则：安全靠的是多层克制（限制源IP、禁密码、密钥认证、fail2ban封禁、UFW兜底），而非依赖“藏端口”这一单点措施
真正有效的替代方案
用稳定、可验证、低风险的方式应对暴力破解：
- 提前设好高位端口并长期固定使用：例如2222、33891等10000–65535之间非热门端口，在sshd_config中只保留一个Port行，重启一次即生效，后续不再变动
-
强制密钥登录 + 禁用密码：设置
PasswordAuthentication no和PubkeyAuthentication yes，彻底移除暴力破解的入口基础 -
用fail2ban精准封禁IP：配置
maxretry = 3、findtime = 600，封禁时间设为数小时甚至永久（bantime = -1），比换端口更直接有效 -
结合UFW默认拒绝入站：执行
ufw default deny incoming，再仅放行你确认可信的IP段和那个固定高位端口
如果你坚持要“响应式端口调整”，只能手动触发
可编写一个检查+提醒脚本（不自动改，只告警并提供一键切换模板）：
- 用
awk '/Failed password/ {print $(NF-3)}' /var/log/auth.log | sort | uniq -c | sort -nr | head -5定期统计高频攻击IP - 当某IP失败次数超50次，发邮件通知管理员，并附带预写好的切换命令清单（含sshd_config修改、firewalld开放、semanage授权、重启指令）
- 切换动作必须由人确认后执行，全程保留原端口配置备份、新旧端口双开测试窗口、回滚步骤
安全的核心是可靠与可控，不是自动化程度高低。固定一个合理端口，配好密钥和fail2ban，远比追求“自动改端口”更能扛住真实攻击。
