SSH auf einen anderen Port zu legen stoppt die automatischen Scanner, die nur 22 probieren. Ihr Auth-Protokoll wird still, und die Maschine fühlt sich sicherer an. Sicherer ist sie nicht: Wer den gesamten Portbereich scannt, findet SSH in Sekunden — und genau das tut ein gezielter Versuch.

Was die Tür tatsächlich schützt

  • Schlüssel statt Passwörter — siehe SSH-Schlüssel statt Passwörter.
  • PasswordAuthentication no, damit ein erratenes Passwort überhaupt kein Weg hinein ist.
  • Eine Firewall, die nur die Adressen zulässt, die es brauchen.
  • Fail2ban für den Rest — siehe Was Fail2ban aufhält.

Ein anderer Port lohnt sich wegen der ruhigeren Protokolle. Für sich allein ist er nichts wert.

Ändern, ohne sich auszusperren

  1. Öffnen Sie ZUERST den neuen Port in der Firewall — sudo ufw allow 2222/tcp
  2. Fügen Sie den Port hinzu, behalten Sie 22 vorerst — zwei Port-Zeilen in /etc/ssh/sshd_config.
  3. Prüfen Sie, ob die Konfiguration einlesbar ist — sudo sshd -t
  4. Neu laden, dann eine NEUE Sitzung auf dem neuen Port öffnen — lassen Sie die alte verbunden, bis die neue funktioniert.
  5. Erst dann Port 22 entfernen — und ihn in der Firewall schließen.
# /etc/ssh/sshd_config
Port 22
Port 2222

sudo sshd -t && sudo systemctl reload ssh
Auf RHEL, Alma und Rocky hindert SELinux den sshd daran, sich an einen unerwarteten Port zu binden. Erlauben Sie ihn zuerst: sudo semanage port -a -t ssh_port_t -p tcp 2222. Ohne das gelingt das Neuladen, und der Dienst lauscht trotzdem nicht.

Sagen Sie es Ihrem Client

# ~/.ssh/config
Host web1
    HostName 203.0.113.10
    Port 2222
    User sara