云服务器更改 22 端口对安全防护一点作用都没有

[bingoso]

RT 更改了默认的 22 端口，几天观察下来，尝试登录的记录一点都没有减少。 作为一项安全访问措施， [更改 ssh 默认的 22 端口] 可以移除了。

[BardOS]

我的没改一堆扫,改了基本没有,开启 key 登陆,禁止密码,都消停了

[yougg]

另辟蹊径, 直接关掉 sshd, 改用 ttyd 或 gotty 走 https 协议, 还方便随时浏览器访问.

[Opportunity]

改了端口以后至少少了 1000 倍，怎么会没用

[shuax]

我改了端口以后尝试登录的确实少了很多。

[shench]

@spritecn 我一般用 9527

[BeforeTooLate]

@zengxs >设置 ssh 为只允许 pub key 登录，你就会发现没人再去尝试登录你的机器了
我这好像不是这样的，即便只允许密钥登录也会有很多扫描的

[open9527]

是的 改了密钥登录 还是一堆登录失败记录 为什么呢

[cornorj6]

各个云一般都提供安全组的 API ，我的方案是自己了做一个系统，跑在 NAS 上面，这个系统有个功能就是把指定 IP 添加到安全组白名单。NAS 上还有个 DDNS-GO 用来做 DDNS 的，它有个 webhook 可以调用我系统的接口，把最新的公网 IP 放到安全组。这样云服务器只有我家里的 NAS 可以连，而我平时通过 VPN 连家里的 NAS 。

[Songxwn]

有一点吧，还是做 IP 白名单安全一些

[hibodhi]

@dode 这个办法好

[f1ynnv2]

@bingoso key 登录 和 密码登录 安全性 有争论？这个能详细展开说说吗？

[uid106]

@Songxwn 访问一个加密的 https 路径，ip 存入白名单，ssh 设置为 127.0.0.1:22 ，用 passport 转发，不是白名单的 ip 立刻阻断，密码登录、密钥登陆随便。欢迎关注 https://github.com/yosebyte/passport

[srat1999]

如果别人就是想搞你这台服务器，改什么端口都会被扫出来。改默认 22 端口只是为了防止那种全网批量抓鸡扫 ssh 弱口令的情况。

[lpdink]

@vkillwucy http://www.ipdeny.com/ipblocks/data/countries/cn.zone

[huage]

我不改端口的，直接通过防火墙限制登录，有需要再开发给特定 IP 访问 22 端口，平时对外开放只有 80 和 443 。

[WhatTheBridgeSay]

@ZeroClover #41 特地试了试，跟 GPT 大战三百回合也没能实现预期功能，能否提供一下完整的 nftables.conf 尝试一下？

[ZeroClover]

@WhatTheBridgeSay #76

https://gist.github.com/ZeroClover/146ffb8566657fa6cca895d1120856bb

最小 NFTables 配置

Use at your own risk

[guanhui07]

私钥登录

[x2ve]

云服务商安全组禁了，世界立马安静；用的时候再打开

[bingoso]

@f1ynnv2 本地私钥的保存问题，各种软件都会扫描用户目录.ssh ，参照 t/1092714 。
比如 windows 下的.ssh 目录自动保存了私钥了 known host ，复制这个目录就可以自动登录服务器。