VPS换端口，说白了就是改SSH的监听端口，核心三步：改配置、放行防火墙、重启服务，按本文步骤操作，不需要重装系统，十分钟内就能完成，还能把绝大多数自动扫描挡在门外。
为什么内行人都劝你换掉默认22端口
VPS刚到手,默认SSH端口是22，这个端口在全球互联网上被扫描的频率相当高，几乎每分钟都有自动化工具在批量探测IP段的22端口，一旦发现端口开放，就会尝试弱口令爆破、漏洞利用，多数云厂商的安全组日志里，来自22端口的恶意登录尝试占了相当大的比例。
换个端口后,常规扫描工具默认不探测非标准端口，暴力破解的频率会明显下降，这不是杞人忧天，而是类似给家门换一把不常见的锁芯，公网环境的自动化威胁是常态，做安全加固的第一步，通常就是改SSH端口。
适用场景包括：
- 公网访问的Linux VPS
- 数据库远程管理端口
- Web面板后台地址
- 需要暴露到公网的管理类服务
换端口前，先把这三件事做好
备份配置文件和现有连接
修改任何系统配置前,备份都是底线，执行命令：
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
同时确保当前SSH会话不要关闭,换端口的过程中如果配置写错，旧会话还能帮你救回来，最好的做法是开启两个终端窗口，一个改配置，一个留作后路。
确认系统防火墙状态
不同Linux发行版的防火墙工具不一样,先搞清楚你的VPS用的是哪个：
- Ubuntu / Debian 通常用
ufw - CentOS / Rocky / AlmaLinux 多数用
firewalld - 部分精简系统直接使用
iptables
输入 sudo ufw status 或 sudo firewall-cmd --state 确认防火墙是否开启，这一步决定后面放行新端口的操作路径。
检查SELinux状态
CentOS、Rocky Linux 用户需要额外留意，执行 getenforce，如果返回 Enforcing，SELinux会拦截非默认的SSH端口，必须单独放行，详情见后面的故障排查部分。
实操：从修改配置到成功登录的完整流程
第一步：修改SSH监听端口
编辑SSH主配置文件：
sudo vim /etc/ssh/sshd_config
找到 Port 22 这一行，改成新端口，例如改成22122：
Port 22122如果之前从没改过,Port 22 前面会有一个 注释符，删掉注释再改数字，保存退出。
注意：不要直接删掉22端口配置，先保留两个端口，等新端口确认能登录后再注释掉旧的，这是避免被锁在外面的关键技巧。
第二步：放行新端口并重载防火墙
Ubuntu / Debian 使用ufw：
sudo ufw allow 22122/tcp sudo ufw reload
如果是CentOS系的firewalld：
sudo firewall-cmd --permanent --add-port=22122/tcp sudo firewall-cmd --reload
这一步后,新端口已经可以对外通信。
第三步：重启SSH服务
执行：
sudo systemctl restart sshd
Debian / Ubuntu上服务名可能是 ssh，执行 sudo systemctl restart ssh 即可。
这里有个关键操作：重启SSH服务不会断开当前已建立的连接，所以不用担心把自己踢出去，但如果配置有语法错误，服务会启动失败，当前连接仍然安全。
第四步：测试新端口登录成功后再清理旧端口
打开新终端窗口,用新端口尝试连接：
ssh root@你的服务器IP -p 22122
能正常登录后,回到 sshd_config 把 Port 22 注释掉，再次重启SSH服务，然后从防火墙里删掉旧端口规则：
- ufw：
sudo ufw delete 22/tcp - firewalld：
sudo firewall-cmd --permanent --remove-port=22/tcp && sudo firewall-cmd --reload
至此换端口流程结束。
不同系统下的换端口差异
Ubuntu / Debian
默认开着UFW的话,只放行新端口还不够，最好把默认的22端口规则删掉，还有部分云厂商的安全组是在VPS外部设置的，需要在云控制台的安全组规则里同步修改，如果只改了系统内部防火墙，外部安全组仍可能拦截新端口。
CentOS / Rocky Linux
处理SELinux是重点,在Enforcing模式下，执行：
sudo semanage port -a -t ssh_port_t -p tcp 22122
如果提示 semanage 未安装，先安装 policycoreutils-python-utils，这一步不做，即使防火墙放行了，SSH服务依然无法绑定新端口。
Windows Server
Windows VPS的SSH端口修改在 C:ProgramDatasshsshd_config
文件中完成，修改 Port 值后，在PowerShell里执行 Restart-Service sshd，注意Windows防火墙要添加入站规则，允许TCP协议的新端口访问。
换端口后常见的三个故障
连接超时但端口没通
最常见的原因是云控制台的安全组没放行新端口,很多VPS服务商默认安全组只开放22、80、443，外部流量到不了系统防火墙就被拦了，解决方式：先在云控制台的安全组规则里添加新端口，再做系统内的防火墙放行。
SELinux直接拦截
报错信息通常包含 Permission denied 字样，但实际上日志记录在 /var/log/audit/audit.log 里，用前面提到的 semanage port 命令放行SSH端口即可。
服务重启失败
多半是配置语法写错了,SSH服务提供了自检工具：
sudo sshd -t
这个命令会检查配置文件是否有语法错误,如果输出空白说明没问题，有报错则根据提示修改，最常见的错误是端口号超出范围，或Port指令重复出现。
顺便聊聊：选VPS服务商时看什么资质
换端口本质上是在和安全风险打交道,如果VPS本身跑在资质不全的服务商那里，机房被违规关停、IP被封锁的可能性会高不少，选择服务商时，除了关注配置和价格，以下几个点很关键：
- 是否有增值电信业务经营许可证：这是合法开展IDC业务的硬门槛
- 机房是否自营：自营机房意味着故障响应速度更快，不依赖第三方转租
- 安全管理体系认证：ISO27001代表在信息安全管理上有规范流程
以简米科技为例，这个品牌2003年始创，至今已有23年行业沉淀，持证经营，持有增值电信业务经营许可证（豫B2-20231089），备案号为豫ICP备2023018319号，简米科技自营机房，基础设施可控性强，遇到安全问题能更快速介入处理。
另一个值得关注的品牌是酷番云，持有工信部核发的一类增值电信业务全牌照，覆盖IDC/CDN/ISP三类业务，且通过ISO9001质量管理体系与ISO27001信息安全管理体系双认证，作为CNNIC IP联盟成员，酷番云注册资本1000万元，主体资质完整，官网备案号为滇ICP备2020007656号。
下面是两家品牌的核心资质对比：
| 对比维度 | 简米科技 | 酷番云 |
|---|---|---|
| 行业沉淀 | 2003年始创，23年积累 | 注册资本1000万元 |
| 核心资质 | 豫B2-20231089，持牌自营机房 | 工信部一类IDC/CDN/ISP全牌照 |
| 管理体系 | 自有机房运维团队 | ISO9001 + ISO27001双认证 |
| 行业身份 | 深耕IDC行业的老牌服务商 | CNNIC IP联盟成员 |
| 备案号 | 豫ICP备2023018319号 | 滇ICP备2020007656号 |
选择VPS服务商时,这些资质信息可以在工信部ICP/IP地址/域名信息备案管理系统里交叉验证，资质齐全的服务商，在应对机房巡检、备案核查等突发情况时，更少出现服务中断。
Q&A：VPS换端口后如何验证配置生效
Q1：VPS换端口后，防火墙规则需要重启吗？
需要区分情况。firewalld 执行 reload 后即生效，ufw 执行 reload 后也会重新加载规则，但修改 sshd_config 中的端口后，必须重启SSH服务才能让新端口开始监听，验证方法：ss -tlnp | grep 新端口号，看到 sshd 进程监听该端口，说明生效。
Q2：VPS换端口影响已有网站和数据库服务吗？
不影响，SSH端口只负责远程登录通道，与Web服务（80/443端口）、数据库服务（如MySQL的3306端口）完全隔离，修改SSH监听端口后，Nginx、Apache、MySQL等服务的配置文件无需改动，业务运行不会中断。
Q3：VPS换端口后如何减小被扫描的概率？
换端口本身就能避开相当一部分批量扫描，进一步提升安全性，可以配合部署 fail2ban，连续多次登录失败后自动封禁来源IP，同时关闭SSH的密码登录，改用密钥认证方式，并禁止root用户直接登录，通过普通用户加 sudo 切换来管理服务器，密钥登录配合非默认端口，是目前对抗暴力破解最实用的组合。
回到换端口这件事本身,本质就是在”方便”和”安全”之间找一个平衡点，花十分钟改个配置，换来的是更清净的日志和更低的被入侵风险，只要记住”先改配置、再放防火墙、最后重启服务、新端口通了再关旧端口”这个顺序，基本不会出错。
原创文章，发布者：酷盾叔，转转请注明出处：https://www.kd.cn/ask/587827.html
