防止 vps 上 ssh 端口被恶意扫描

[wslzy007]

随着 vps 云主机越来越便宜，vps 已日渐普及。平常的运维管理往往需要开启 ssh 服务，由于是公网 IP，自己的云主机经常会被来源于世界各地的 IP 扫描猜测；当然，可以选择云厂商提供的收费防护服务，价格嘛...但估计也挺感人。有没有好的办法呢？

如果能够拒绝所有外部 IP 对 22 端口的访问不就行了吗？

额。。。剩下的问题就是如何允许自己访问了。

祭出工具：SG （ smarGate ），如何使用 smarGate 请见 github.com/lazy-luo/smarGate

步骤如下：

1、在 vps 主机上运行 smarGate 服务端（ proxy_server ）

2、在云控制台配置安全组，将 22 端口禁止外部访问

3、在 smarGate 客户端上开启 vps 主机 ssh 反弹穿透（本地端口要求大于 1024 ）：

4、通过 SSH 客户端连接手机 ip:2222 即可访问 vps 服务器

这样配置的好处是只有通过你配置的 smarGate 客户端才能访问到 vps 的 ssh 服务，而手机你是不离身的。可控、安全。

[kingcc]

knockd 了解一下

[brMu]

一般也只会扫 22，换个高端口基本免疫了，除非人家专门搞你。

[saytesnake]

就让它扫呗，反正是证书登陆的，扫扫更健康。

[RyuZheng]

我做了 5 个措施，写了一篇博客，https://zhengzexin.com/archives/VPS_No1_SSH/
- 修改 SSH 默认的 22 端口
- 使用 fail2ban 去屏蔽多次尝试密码的 IP
- 禁止 root 用户直接登录
- 使用密码加 Google Authenticator 2 步验证进行登录
- 或使用有密码的 SSH 密钥进行登录

[leavic]

我就直接禁止密码登录就行了。

[leavic]

禁止密码登陆后，返回的错误不是密码错误而是证书错误，我就不信爆破机器人这么弱智，连这错误都看不懂还瞎破？

[isnullstring]

换端口+1
从每天 5000+尝试 到 0

[wanguorui123]

每天有超过 35000 次扫我的端口，依然淡定

[v66ex]

@wslzy007 扫描能有多巨量的 tcp 连接？如果真是巨量，那叫 ddos，不开放的端口，也能给你砸死