Changer le port SSH, et ce que cela ne fait pas

Déplacer SSH sur un autre port arrête les scanners automatiques qui n'essaient que le 22. Votre journal d'authentification devient silencieux et la machine paraît plus sûre. Elle ne l'est pas : qui balaie toute la plage de ports le trouve en quelques secondes, et c'est exactement ce que fait une tentative ciblée.

Ce qui protège réellement la porte

Des clés au lieu de mots de passe — voir Des clés SSH plutôt que des mots de passe.
PasswordAuthentication no, pour qu'un mot de passe deviné ne soit plus du tout une entrée.
Un pare-feu qui n'autorise que les adresses qui en ont besoin.
Fail2ban pour le reste — voir Ce que Fail2ban arrête.

Un autre port vaut la peine pour des journaux plus calmes. Seul, il ne vaut rien.

Le changer sans s'enfermer dehors

Ouvrez D'ABORD le nouveau port dans le pare-feu — sudo ufw allow 2222/tcp
Ajoutez le port, gardez le 22 pour l'instant — deux lignes Port dans /etc/ssh/sshd_config.
Vérifiez que la configuration se lit — sudo sshd -t
Rechargez, puis ouvrez une NOUVELLE session sur le nouveau port — laissez l'ancienne connectée jusqu'à ce que la nouvelle marche.
Alors seulement, retirez le port 22 — et fermez-le dans le pare-feu.

# /etc/ssh/sshd_config
Port 22
Port 2222

sudo sshd -t && sudo systemctl reload ssh

Sur RHEL, Alma et Rocky, SELinux empêche sshd de se lier à un port inattendu. Autorisez-le d'abord : sudo semanage port -a -t ssh_port_t -p tcp 2222. Sans cela, le rechargement réussit et le démon n'écoute toujours pas.

Prévenez votre client SSH

# ~/.ssh/config
Host web1
    HostName 203.0.113.10
    Port 2222
    User sara