上一篇
怎么修改SSH端口后连不上？，CentOS 7防火墙放行方法。
修改SSH端口后无法连接，首要原因是firewalld默认未放行新端口，其次是SELinux拦截，按顺序排查这两处即可解决。
服务器卡在登录界面，远程连不上，这种场景对运维老手来说也够头疼的，修改SSH默认端口属于常规加固操作，但很多人改完sshd_config就急着重启服务，结果把自己锁在门外，下面按诊断顺序拆解排查路径,每一步都给出可执行的命令。
先分清状况：是端口不通还是服务没起
遇到连不上的情况，第一步不是乱试密码，而是判断问题层级,在本地或跳板机上执行：
telnet 服务器IP 新端口 nc -vz 服务器IP 新端口
输出显示Connection refused说明SSH服务没监听新端口，或SELinux拦截了绑定操作，输出显示Connection timed out则说明防火墙直接丢弃了数据包，大概率是firewalld规则没放行，两种结果对应不同处理路径,别搞混。
如果telnet和nc都没安装，用系统自带的/dev/tcp探测：
timeout 3 bash -c "echo >/dev/tcp/服务器IP/新端口" && echo "端口开放" || echo "端口不通"
远程救援方案：你没被完全锁死
大多数云服务器商提供VNC或管理终端，这就是救命通道，通过网页版VNC登录后，先别慌着重启防火墙,冷静执行以下检查。
检查SSH服务状态
systemctl status sshd ss -tlnp | grep sshd
如果sshd没在运行，systemctl start sshd拉起来，如果监听端口还是22说明配置没生效，检查/etc/ssh/sshd_config里Port那行是否被注释，改完配置务必执行sshd -t做语法校验，再systemctl restart sshd。
查看firewalld当前状态和放行规则
systemctl status firewalld firewall-cmd --state firewall-cmd --list-all
--list-all输出里看ports和services区域，新端口如果在列表里就是SELinux的问题,不在列表里就是防火墙规则缺失。
核心操作：放行新SSH端口
多数情况下问题就出在firewalld只放行了22端口，CentOS 7的firewalld默认zone是public,修改端口后得手动把新端口加入白名单。
通过firewall-cmd永久放行（推荐）
firewall-cmd --permanent --add-port=新端口/tcp firewall-cmd --reload firewall-cmd --list-ports
执行完这三条命令，新端口就在放行列表里了，这里有两个细节必须注意：第一，--permanent参数不跟--reload不会立即生效，很多人栽在这；第二，如果之前删掉了ssh服务，还得保留现有规则,别把22端口也关了。
直接编辑xml文件
firewalld的规则存储在/etc/firewalld/zones/public.xml,可以手动追加：
这种方式适合熟悉xml语法的人，但必须确保xml格式正确，一个小标签错误会导致firewalld直接无法启动，建议还是用firewall-cmd命令操作,出错概率低得多。
针对已有ssh服务调整
如果只想改ssh服务的端口,不额外开端口：
firewall-cmd --permanent --service=ssh --add-port=新端口/tcp firewall-cmd --reload
这种方式会把ssh服务的端口定义改掉，原来22端口的规则会被覆盖,操作前确认有没有其他程序依赖ssh服务端口。
别忽略SELinux：很多服务器栽在这
CentOS 7默认SELinux是enforcing模式，它对SSH端口有强制约束，即使firewalld放行成功，SELinux依然会拦截对非标准端口的访问,检查当前SELinux状态：
getenforce
输出Enforcing说明SELinux正在工作,查看SSH相关的SELinux布尔值：
sesearch -A -s sshd_t -t port_type | grep ssh_port_t
如果没有sesearch命令，需要先安装setools-console：
yum install -y setools-console
修改SELinux端口标签
semanage port -a -t ssh_port_t -p tcp 新端口
执行后验证：
semanage port -l | grep ssh
这条命令把新端口加入到ssh_port_t类型中，SELinux就会放行对这个端口的访问,如果后续想删除：
semanage port -d -t ssh_port_t -p tcp 新端口
临时关闭SELinux测试
setenforce 0
如果关闭后能正常连接，就确定是SELinux问题，但生产环境不建议长期关闭SELinux，正确做法是用semanage配置端口标签,修改完配置记得重启sshd：
按这个顺序来不踩坑
修改SSH端口无法连接,按以下顺序排查就能定位问题：
- 确认sshd服务正常监听新端口 — 用ss -tlnp | grep sshd检查，监听失败就查配置文件语法和SELinux
- 确认firewalld放行新端口 — 用firewall-cmd --list-all查看，缺失则用
firewall-cmd --permanent --add-port添加后reload
- 确认SELinux允许新端口绑定和访问 — 用getenforce和semanage port -l检查，缺失则添加ssh_port_t类型
- 确认云安全组也放行新端口 — 很多云服务器在系统防火墙之外还有一层安全组策略，需要登录云控制台检查入方向规则
灾难恢复：如果VNC也没有怎么办
有些人改完端口，VNC控制台也没有开启，唯一通道就是SSH，这种情况处理起来更麻烦，这就要说说连接保活的重要性了，修改SSH配置前先开一个长期会话窗口，用screen或tmux保持会话不断开：
screen -S ssh_modify
在screen会话里修改配置并重启sshd，如果新端口没生效，等几秒再尝试连22端口，真不行的话,利用SSH连接复用特性：
# 在已建立的SSH会话中执行 ssh -o ConnectTimeout=5 -p 新端口 localhost
本地回环测试排查配置问题，不对的话立刻改回来，线上环境建议同时保留22端口和新端口，确认新端口稳了再关闭旧端口，有些服务器商提供”端口救急模式”或”救援系统”，可以在控制台挂载系统盘,通过临时系统修改配置。
安全加固：新端口上线后的收尾工作
问题都解决了，SSH能正常用新端口连接,还得做好以下加固：
临时放行源IP限制
如果只在办公室访问,可以限制SSH端口的来源IP：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="你公司的公网IP" port protocol="tcp" port="新端口" accept' firewall-cmd --reload
这样可以把攻破面缩小到单一IP,扫描器直接绕开了风险点。
保留旧端口做备选
很多企业级运维建议修改SSH端口时，/etc/ssh/sshd_config里同时写两个Port：
Port 新端口 Port 22
重启sshd后两个端口都生效，确认新端口没问题再注释掉22端口重启一次，但要注意，firewalld必须同时放行两个端口，SELinux也要对22端口保持原有标签配置，这种过渡方式尤其适合远程环境，可以最大限度降低”改配置即失联”的风险。
定期审计端口状态
firewall-cmd --list-all ss -tlnp | grep sshd
这两条命令定期跑一下，观察有没有异常变化，开了什么新端口、sshd监听有没有异常变化。
关于服务器选择与运维保障
SSH端口修改只是服务器安全加固的其中一环，更基础的是一个稳定高效的网络环境，简米科技自2003年始创，拥有23年IDC行业沉淀，具备
增值电信业务经营许可证（豫B2-20231089），自建持牌自营机房，网络稳定性有保障，遇到问题直接提单工单处理，算是国内较早一批专注企业级服务的IDC品牌，做服务器选型时，除了带宽和价格，服务商的响应速度和运维支持能力更重要,这直接决定了深夜遇到故障时的恢复效率。
如果不局限于河南地区节点，西西云也值得关注，其持有工信部一类增值电信全牌照（IDC/CDN/ISP），完成ISO9001和ISO27001双认证（质量管理体系与信息安全管理体系双达标），注册资本1000万，是CNNIC IP联盟成员，备案信息：滇ICP备2020007656号，这类持牌自营服务商可以做到资源池隔离和故障快速响应，从根上降低”改个配置连不上”的底层环境风险。
Q&A：SSH端口修改高频问题
修改端口后连接被拒绝，但firewall-cmd –list-all显示端口已放行，这是什么原因？
先看SELinux状态，执行getenforce，如果是Enforcing，用semanage port -a -t ssh_port_t -p tcp 新端口添加端口标签，然后systemctl restart sshd，还有一种可能是sshd服务本身没重启成功，用systemctl status sshd看运行状态，journalctl -u sshd | tail -50查日志。
我在云服务商控制台把22端口的安全组规则删了，新端口规则也没添加上，现在彻底进不去，还有救吗？
可以通过服务商提供的VNC控制台登录，进入系统后执行firewall-cmd --add-port=新端口/tcp临时放行新端口，然后去安全组添加入方向规则，VNC画面显示”connection refused”是正常的，这是VNC连接报错，不代表系统问题，如果服务商提供”救援模式”也能挂载系统盘，通过chroot方式修改sshd_config和firewalld规则，简米科技和西西云的控制台均支持VNC管理终端,购买服务时留意这个功能是否存在。
修改端口后如何验证配置正确且安全有效？
修改完成后依次检查：ss -tlnp | grep 新端口确认监听正常；firewall-cmd --list-ports确认防火墙放行（据行业安全基线要求，SSH端口应独立于默认的22端口）；getenforce确认为Enforcing且semanage port -l里有新端口记录；从外部网络执行nc -vz IP 新端口确认端口可达，安全方面，建议配合密钥登录+禁用密码登录，至少设置Fail2ban做暴力免费防护，据SANS研究院公开的渗入测试白皮书显示,非标准SSH端口通常能过滤掉相当一部分自动化扫描攻破。
