Spostare SSH su un'altra porta ferma gli scanner automatici che provano solo la 22. Il tuo log di autenticazione tace e la macchina sembra più sicura. La macchina non lo è: chi scandisce l'intero intervallo di porte la trova in pochi secondi, ed è esattamente ciò che fa un tentativo mirato.

Che cosa protegge davvero la porta

  • Chiavi al posto delle password — vedi Chiavi SSH al posto delle password.
  • PasswordAuthentication no, così una password indovinata non è affatto una via d'ingresso.
  • Un firewall che ammette solo gli indirizzi che ne hanno bisogno.
  • Fail2ban per il resto — vedi Che cosa ferma Fail2ban.

Una porta diversa vale la pena per avere log più silenziosi. Da sola non vale nulla.

Cambiarla senza chiudersi fuori

  1. Apri PRIMA la porta nuova nel firewall — sudo ufw allow 2222/tcp
  2. Aggiungi la porta, per ora tieni anche la 22 — due righe Port in /etc/ssh/sshd_config.
  3. Verifica che la configurazione si legga — sudo sshd -t
  4. Ricarica, poi apri una NUOVA sessione sulla porta nuova — lascia collegata la vecchia finché la nuova non funziona.
  5. Solo allora togli la porta 22 — e chiudila nel firewall.
# /etc/ssh/sshd_config
Port 22
Port 2222

sudo sshd -t && sudo systemctl reload ssh
Su RHEL, Alma e Rocky, SELinux impedisce a sshd di legarsi a una porta inattesa. Consentila prima: sudo semanage port -a -t ssh_port_t -p tcp 2222. Senza, il ricaricamento riesce e il servizio continua a non ascoltare.

Dillo anche al tuo client

# ~/.ssh/config
Host web1
    HostName 203.0.113.10
    Port 2222
    User sara