改SSH端口本身不提升安全，仅降低自动化扫描命中率；真正有效的是配合密钥登录、禁用密码认证、防火墙白名单等措施。
改SSH端口本身不能“提高安全”，只能降低被自动化扫描器撞上的概率；真正起作用的是配合密钥登录、禁用密码、防火墙白名单等措施。单独改端口，对有目标的攻击者几乎无效。
修改 sshd_config 中的 Port 配置项
关键不是“取消注释”，而是确保配置生效且不冲突：
-
Port指令必须是未注释的独立行，例如Port 2222；写成#Port 2222或Port 22 # Port 2222都无效 - 可以同时写多个
Port行（比如保留Port 22和新增Port 2222），sshd 会监听所有列出的端口 - 端口号必须在
1–65535范围内，且不能被其他进程占用（可用ss -tlnp | grep :<port></port>检查） - 避免使用
1024以下的特权端口（如80、443），除非你明确用root运行 sshd —— 默认不支持
防火墙放行新端口前，先确认服务已监听
很多人在重启 sshd 后立刻加防火墙规则，结果发现连不上——因为 sshd 根本没起来，或者监听失败了：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 执行
sudo ss -tlnp | grep ssh，应看到类似*:2222的监听项，且进程为sshd - 如果没输出，说明配置有误或端口被占；此时加防火墙规则毫无意义
-
ufw用户注意：sudo ufw allow 2222/tcp只放行入站，不自动 reload 规则，需额外运行sudo ufw reload（部分旧版本需enable） -
firewalld用户务必用--permanent参数，否则重启后规则丢失；firewall-cmd --reload才生效
SELinux 启用时，semanage port 必须执行
CentOS/RHEL 系统若 sestatus 显示 enabled，跳过这步会导致 systemctl restart sshd 失败，日志里报 Permission denied 或直接静默退出：
- 先查当前 SSH 端口上下文：
sudo semanage port -l | grep ssh，通常只列出22和2222 - 添加新端口：
sudo semanage port -a -t ssh_port_t -p tcp 2222（把2222替换为你自己的端口） - 若提示
ValueError: Port tcp/2222 already defined，说明已存在，不用重复加 - 删错端口用
sudo semanage port -d -t ssh_port_t -p tcp 2222，但别乱删默认的22
不要立刻禁用 Port 22，验证新端口稳定后再操作
这是最常被忽略的风险点：改完就删 Port 22，结果新端口因防火墙/SELinux/网络策略问题连不上，直接锁死自己：
- 首次修改后，保持
Port 22和新端口共存，用新端口成功登录两次以上再考虑移除Port 22 - 测试命令要带
-p参数：ssh -p 2222 user@host；漏掉会默认走22，误判成功 - 如果服务器在云平台（阿里云、腾讯云等），安全组规则必须同步更新——它和系统防火墙是两层，缺一不可
- 改端口后，
scp、rsync -e "ssh -p 2222"、git clone等依赖 SSH 的工具也要显式指定端口，否则继续走22
真正麻烦的从来不是改端口本身，而是改完之后没人检查 SELinux 是否拦着、防火墙是否真通、云平台安全组有没有同步——这些地方出问题，比端口配错更难排查。
