CentOS 7.5更换SSH默认端口22的详细步骤是？

在CentOS 7.5系统中更改服务的默认端口是一项基础且重要的安全加固措施，通过修改端口，可以有效减少自动化扫描和暴力破解攻击的风险，本文将以最常用的SSH服务为例，详细阐述在CentOS 7.5中更换端口的完整流程，并辅以其他服务的参考信息。

准备工作：备份与规划

在进行任何核心配置修改之前,首要任务是备份相关的配置文件，这可以确保在操作失误时能够迅速恢复系统原状，对于SSH服务，其主配置文件为/etc/ssh/sshd_config，建议使用以下命令进行备份：

cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

请规划好您要使用的新端口号,建议选择一个大于1024且未被其他服务占用的端口号，例如2222，您可以使用netstat -tunlp或ss -tunlp命令来查看当前系统已被占用的端口列表。

核心步骤：以SSH服务为例

更换SSH端口主要涉及修改配置文件、调整防火墙规则以及更新SELinux策略三个核心环节。

修改SSH配置文件

使用文本编辑器（如vi或nano）打开SSH配置文件：

vi /etc/ssh/sshd_config

在文件中找到#Port 22这一行，默认情况下，该行被注释掉，您有两个选择：一是直接取消注释并将22修改为新端口号；二是保留22，同时在新的一行添加您的新端口，这样可以确保新端口配置生效前，旧端口依然可用，防止被锁在系统外。

推荐采用第二种方式,更为稳妥：

#Port 22
Port 2222

保存并退出编辑器。

配置防火墙

CentOS 7.5默认使用firewalld作为防火墙管理工具，必须将新端口添加到防火墙的允许规则中，否则外部无法访问。

# 添加新端口到public区域（永久生效）
firewall-cmd --zone=public --add-port=2222/tcp --permanent
# 重新加载防火墙配置，使规则生效
firewall-cmd --reload

执行完毕后,可以使用firewall-cmd --zone=public --list-ports来确认新端口是否已成功添加。

更新SELinux策略

如果系统的SELinux处于强制（Enforcing）模式，它同样会限制服务只能在其预定义的安全端口上运行，需要为SSH服务添加新的端口许可。

确保已安装semanage命令工具，该工具包含在policycoreutils-python包中：

yum install policycoreutils-python -y

使用semanage为新端口添加SSH服务上下文：

semanage port -a -t ssh_port_t -p tcp 2222

可以通过semanage port -l | grep ssh来查看当前SSH服务被允许使用的端口列表，确认2222已加入其中。

重启服务与验证

完成以上所有配置后,重启SSH服务以使更改生效：

systemctl restart sshd

关键验证步骤：在断开当前SSH连接之前，务必开启一个新的终端窗口，尝试使用新端口连接服务器：

ssh username@your_server_ip -p 2222

如果新端口连接成功,则说明所有配置均正确无误，您可以安全地断开旧连接，确认无误后，可以返回第一步的配置文件中，将Port 22这一行删除或注释掉，并再次从防火墙中移除22端口，完成彻底的端口切换。

常用服务端口与配置文件速查表

为了方便您对其他服务进行类似操作,下表列出了一些常见服务的默认端口及配置文件路径。

服务名称	默认端口	主配置文件路径
SSH (远程登录)	22	/etc/ssh/sshd_config
HTTP (Apache/Nginx)	80	/etc/httpd/conf/httpd.conf 或 /etc/nginx/nginx.conf
HTTPS (Apache/Nginx)	443	同上
MySQL/MariaDB	3306	/etc/my.cnf 或 /etc/my.cnf.d/server.cnf
FTP (vsftpd)	21	/etc/vsftpd/vsftpd.conf

---

相关问答 (FAQs)

问题1：修改端口后无法连接，被锁在门外怎么办？
解答： 首先不要慌张，如果您拥有服务器的物理控制台访问权限或虚拟化平台（如VNC、VMware Console）的远程控制台，可以通过它登录系统，依次排查：1）检查sshd_config文件中的端口号是否正确且语法无误；2）使用firewall-cmd --list-ports确认防火墙是否已放行新端口；3）使用semanage port -l | grep ssh确认SELinux是否允许新端口；4）使用systemctl status sshd检查SSH服务是否正常运行，找到问题并修正后，重启SSH服务即可。

问题2：修改端口后，是否需要禁用原来的默认端口（如22端口）？
解答： 是的，强烈建议禁用，保留默认端口会暴露服务信息，使得安全加固失去意义，在您通过新端口100%确认服务稳定运行后，应返回/etc/ssh/sshd_config文件中删除或注释掉Port 22这一行，并执行firewall-cmd --zone=public --remove-port=22/tcp --permanent和firewall-cmd --reload来从防火墙中移除22端口，从而彻底关闭攻击者最常扫描的入口。