改ssh端口需同步完成端口迁移、防火墙放行、selinux策略适配、密钥登录启用四步；动手前须确认sshd监听状态、新端口未被占用、配置已备份；须双端口过渡测试后再禁用22端口；后续必须禁用密码登录、禁止root远程登录、部署fail2ban。
改SSH端口不是换个数字那么简单，而是启动整套安全防护的开关。它本身不防黑客，但能立刻把95%以上的自动化扫描挡在外面——这些工具默认只扫前1000个端口，22端口被扫概率近100%，而端口号大于10000的，扫描率不足0.7%。真正有效的操作，必须同步完成端口迁移、防火墙放行、SELinux策略适配、密钥登录启用这四步，缺一不可。
端口修改前必须做的三件事
避免改完就失联，关键在动手前确认三件事：
- 用netstat -tuln | grep :22或ss -tuln | grep :22确认当前sshd确实在监听22端口
- 运行ss -tuln | grep :新端口（如:2233）确保目标端口未被其他进程占用
- 用sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak_$(date +%Y%m%d)备份原始配置，留好回滚路径
配置文件修改与双端口过渡策略
不要直接注释掉#Port 22再改成新端口。更稳妥的做法是保留22端口，新增一行：
- 打开/etc/ssh/sshd_config，在#Port 22下方添加Port 2233（选1024–65535之间，避开80、443、3306等常用端口）
- 保存后执行systemctl restart sshd，不要断开当前连接
- 新开一个终端窗口，测试新端口：ssh -p 2233 user@server_ip，连通后再考虑禁用22端口
- 确认无误后，再回到配置文件，把Port 22这一行前面加#注释掉，重启服务
防火墙与SELinux必须同步放开
CentOS/RHEL系统中，firewalld和SELinux会拦截未授权端口，仅改sshd_config远远不够：
- firewalld放行新端口：firewall-cmd --permanent --add-port=2233/tcp && firewall-cmd --reload
- SELinux需允许ssh使用非标准端口：semanage port -a -t ssh_port_t -p tcp 2233（若提示command not found，先安装policycoreutils-python-utils）
- Ubuntu/Debian用户用UFW：ufw allow 2233/tcp && ufw deny 22/tcp && ufw reload
端口修改后必须补上的三道防线
单改端口只是起点，接下来必须立即加固，否则等于换锁没换钥匙：
- 禁用密码登录：编辑/etc/ssh/sshd_config，设PasswordAuthentication no，并确保PubkeyAuthentication yes
- 禁止root远程登录：设PermitRootLogin no，创建普通用户并加入sudo/wheel组
- 部署fail2ban：安装后启用sshd过滤器，自动封禁多次失败登录的IP，大幅降低暴力破解成功率
