端口隐藏是被动防御手段，用于降低ssh被扫描发现的概率，而非主动欺诈扫描；其有效方式包括修改默认端口、防火墙白名单限制和端口敲门动态隐身。
端口隐藏本身不是用来实施“防御性网络欺诈扫描”的——这个说法存在概念混淆。SSH端口隐藏（如改端口、防火墙限制、端口敲门）是一种被动防御手段，目标是降低被自动化扫描发现的概率，而不是主动发起扫描或进行欺诈行为。真正的防御对象是外部攻击者的恶意扫描，而非制造虚假扫描干扰他人。
为什么不能用“端口隐藏”做欺诈扫描？
端口隐藏不产生对外探测流量，也不伪造源IP或扫描特征。它只是让本机的SSH服务在常规扫描下响应更弱、更难被识别。试图用它来“反向扫描”或“欺骗对手”，既无技术路径，也违背网络安全基本原则。
端口隐藏真正起作用的三个方向
1. 修改SSH默认端口（最简有效）
把Port 22改成高位端口（如54321），能直接过滤掉约90%只扫22端口的自动化工具。操作只需两步：
- 编辑/etc/ssh/sshd_config，取消注释并修改Port行
- 执行sudo systemctl restart sshd生效
2. 配合防火墙白名单（关键加固）
即使换了端口，只要对外开放，仍可能被全端口扫描命中。必须叠加IP级控制：
- 用ufw：仅允许你的办公IP访问新端口，例如sudo ufw allow from 203.123.45.67 to any port 54321
- 用云平台安全组：在阿里云/AWS控制台中，将SSH规则限制为特定IP段，其他一律拒绝
3. 启用端口敲门（高阶隐身）
让SSH端口在未敲门前完全“不可见”：
- 安装knockd，配置三步敲门序列（如7000→8000→9000）
- knockd监听成功后，自动调用iptables临时放行该IP的SSH连接（例如15秒窗口）
- 扫描器发SYN包到22或54321端口时，全部静默丢弃，nmap结果为filtered或超时
别忽略的配套措施
单靠端口隐藏远远不够，必须同步落实：
- 禁用密码登录，强制使用SSH密钥对认证
- 关闭root远程登录：PermitRootLogin no
- 部署fail2ban，实时封禁多次失败的IP
- 定期检查/var/log/auth.log，确认是否有绕过敲门的异常尝试
