在服务器管理中,远程访问是进行维护、配置和监控的核心功能，无论是通过SSH（Secure Shell）管理Linux服务器，还是通过RDP（Remote Desktop Protocol）连接Windows Server，我们都需要一个特定的“门牌号”——即端口号，来建立连接，默认情况下，SSH使用22端口，RDP使用3389端口，这些众所周知的默认端口也成为了自动化攻击和暴力破解的首要目标，给服务器设置远程端口，将默认端口更改为一个不常见的、自定义的端口，是提升服务器安全性的基础且关键的第一步，本文将详细阐述服务器远程端口设置的重要性、具体操作步骤以及相关的最佳实践。
理解端口与安全风险
在深入操作之前,我们首先需要理解什么是端口，如果将服务器的IP地址比作一栋公寓楼的地址，那么端口号就是每个房间的门牌号，网络服务通过监听特定的端口来等待和处理传入的连接请求，Web服务器通常监听80（HTTP）或443（HTTPS）端口。
使用默认端口的风险在于其公开性,攻击者会使用扫描工具，在互联网上大规模扫描开放了22或3389端口的主机，一旦发现，他们便会尝试使用弱密码、常见用户名或字典进行暴力破解攻击，通过给服务器设置远程端口，我们可以有效规避这种“广撒网”式的自动化攻击，大大增加攻击者发现和连接我们服务器的难度，这被称为“通过隐蔽实现安全”，虽然它不能替代其他安全措施，但却是深度防御策略中不可或缺的一环。
Linux服务器SSH端口设置
对于绝大多数Linux服务器而言,SSH是远程管理的标准协议，修改SSH端口是管理员必须掌握的技能。
操作步骤：
备份配置文件
在进行任何修改之前，备份原始配置文件是一个良好的习惯，以防操作失误导致无法挽回的后果。sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
编辑SSH配置文件
使用你熟悉的文本编辑器（如vim或nano）打开SSH的主配置文件。sudo vim /etc/ssh/sshd_config
修改端口号
在文件中找到#Port 22这一行，默认情况下，它可能被注释掉（以开头），你需要做的是：- 移除号,取消注释。
- 将
22修改为你想要的新端口号，建议选择一个大于1024且不常用的端口号，例如22222或54321。# 原始行 #Port 22
修改后
Port 22222
**注意：** 你也可以保留`Port 22`，同时添加一行新的`Port 22222`，这样SSH服务会同时监听两个端口，这在新端口测试阶段非常有用，可以确保即使新端口配置有问题，你仍然可以通过旧端口连接。更新防火墙规则
仅仅修改配置文件是不够的，你必须在服务器的防火墙中开放新的端口，否则新的连接请求会被拦截，以下是在两种常见防火墙中的操作方法。
防火墙类型 开放新端口命令 关闭旧端口命令（可选） firewalld (CentOS/RHEL) sudo firewall-cmd --permanent --add-port=22222/tcpsudo firewall-cmd --permanent --remove-service=sshsudo firewall-cmd --reloadufw (Ubuntu/Debian) sudo ufw allow 22222/tcpsudo ufw delete allow sshsudo ufw reload重启SSH服务
让配置生效，需要重启SSH守护进程。sudo systemctl restart sshd
重要提示： 在执行此步骤后，请不要立即关闭当前的SSH连接窗口，开启一个新的终端窗口，尝试使用新端口连接服务器，
ssh -p 22222 username@your_server_ip
只有在新端口能够成功登录后,才能安全地关闭旧的连接窗口，如果新连接失败，你仍然可以通过旧的窗口进行排查和修复。
Windows Server RDP端口设置
对于Windows Server，修改RDP的默认3389端口同样重要，主要通过修改注册表来实现。
操作步骤：
打开注册表编辑器
按Win + R键，输入regedit，然后按回车，打开注册表编辑器。定位到RDP端口项
在注册表编辑器中，依次导航到以下路径：HKEY_LOCAL_MACHINESystemCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp修改端口号
在右侧窗口中，找到名为PortNumber的DWORD值，双击它：- 在弹出的编辑窗口中,确保“基数”选项是“十进制”。
- 将“数值数据”修改为你希望的新端口号（例如
53389），然后点击“确定”。
配置Windows Defender防火墙
与Linux类似，需要在防火墙中创建新的入站规则以允许新端口的流量。
- 打开“高级安全 Windows Defender 防火墙”。
- 点击左侧的“入站规则”，然后在右侧点击“新建规则…”。
- 选择“端口”，点击“下一步”。
- 选择“TCP”，并在“特定本地端口”中填入你设置的新端口号（如
53389）。 - 点击“下一步”，保持“允许连接”不变。
- 根据需求选择应用规则的网络类型（域、专用、公用），通常全部勾选。
- 为规则命名,RDP-NewPort”，然后完成创建。
- 创建完成后,找到默认的“远程桌面”规则（通常监听3389），你可以选择禁用或删除它，但建议在新端口测试成功后再进行此操作。
重启服务或服务器
为了让注册表修改生效，你需要重启“Remote Desktop Services”服务，最简单和安全的方式是重启整个服务器，重启前，同样建议保持一个当前的远程桌面连接，并用另一台电脑测试新端口是否能成功连接。
最佳实践与注意事项
- 选择端口：避免使用1-1024的“熟知端口”，因为它们可能被其他系统服务占用，选择一个1024-65535之间的高位端口，最好在49152-65535的动态/私有端口范围内，以减少冲突。
- 强认证是关键：修改端口只是第一道防线，务必使用强密码，对于SSH，更推荐使用密钥对认证，这比密码认证安全得多。
- 保持低调：不要在公开场合透露你修改后的端口号。
- 综合防御：端口修改应与防火墙策略、入侵检测系统（IDS）、定期更新系统补丁等其他安全措施相结合，构建多层次的安全防护体系。
给服务器设置远程端口是一个简单但极其有效的安全加固措施,它能显著降低服务器被自动化工具扫描和攻击的风险，为你的服务器安全赢得宝贵的第一道屏障，通过遵循上述步骤和最佳实践，你可以轻松、安全地完成服务器远程端口设置。
相关问答FAQs
Q1：我按照教程修改了SSH/RDP端口，但现在无法连接了，是不是被锁在服务器外面了？我该怎么办？
A：首先不要慌张，这种情况通常是防火墙规则没有正确配置或服务未成功重启，如果你无法通过新端口连接，也失去了旧端口的连接，你可以通过以下方式“返回”服务器：
- 云服务提供商的控制台：几乎所有云服务商（如阿里云、腾讯云、AWS、Azure）都提供了Web VNC或串行控制台功能，你可以在网页上直接登录到服务器的命令行界面，就像在服务器物理面前操作一样，通过这个界面，你可以检查并修正防火墙设置（
iptables -L -n、firewall-cmd --list-all）、恢复配置文件备份、或者检查SSH服务状态（systemctl status sshd）。 - 物理服务器的KVM：如果你是管理物理服务器，可以使用KVM（Keyboard, Video, Mouse）切换器或IPMI/iDRAC等远程管理卡来直接访问服务器的控制台。
核心要点：在进行远程端口修改这类关键操作前，务必确认你有备用访问途径（如Web控制台），这是避免被锁在门外的“安全网”。
Q2：我把默认端口改成了一个很复杂的数字，是不是我的服务器就绝对安全了？
A：不是的，给服务器设置远程端口是一种“安全通过隐蔽”的策略，它非常有效，但并非万能，它主要能防御的是大规模、无差别的自动化扫描和攻击，对于一个有针对性的、经验丰富的攻击者来说，他仍然可以使用端口扫描工具（如Nmap）对你服务器的所有65535个端口进行全面扫描，最终发现你开放的新端口，修改端口必须与其他安全措施协同工作：
- 强认证机制：使用复杂的密码或SSH密钥对。
- 限制访问源IP：在防火墙中设置规则，只允许你信任的IP地址访问远程端口。
- 使用VPN：先连接到VPN，再通过内网IP访问服务器，这是更安全的做法。
- 及时更新：保持操作系统和软件的最新状态，修复已知漏洞。
修改端口是安全体系中重要的一环，但绝不是终点，一个安全的策略是多层次、纵深防御的。
图片来源于AI模型，如侵权请联系管理员。作者：酷小编，如若转载，请注明出处：https://www.kufanyun.com/ask/12259.html
