上一篇
服务器远程端口设置怎么操作？远程桌面端口修改教程
服务器远程端口设置的核心在于平衡安全性与可访问性，通过修改默认端口、配置防火墙策略以及实施最小权限原则，能够有效规避自动化扫描攻破，保障业务连续性。默认端口（如SSH的22端口、RDP的3389端口）是高手爆破的重灾区，修改为高位端口（10000-65535）并配合防火墙白名单，是提升服务器安全等级的最直接、最有效的手段。 完整的端口管理策略不仅涉及端口的变更，更包含监听地址的绑定、加密协议的强化以及后续的运维监控，这是一套纵深防御体系。
为何必须修改默认远程端口
在互联网环境中,服务器时刻面临着自动化扫描工具的威胁，这些工具通常针对主流服务的默认端口进行批量扫描和暴力免费，Linux服务器的SSH服务默认使用22端口，Windows服务器的远程桌面（RDP）默认使用3389端口。
保留默认端口等同于向攻破者敞开大门。 攻破者利用脚本遍历IP段，一旦发现开放默认端口的主机，便会使用字典库进行暴力免费，虽然强密码能起到一定的防御作用，但面对持续不断的爆破尝试，会消耗服务器系统资源（CPU和带宽），甚至可能导致合法用户无法登录。
修改为高位端口（如50000以上）能避开绝大多数非针对性的扫描。 这并非“隐蔽式安全”，而是一种降低攻破面的有效策略，通过将端口修改为非标准端口，可以过滤掉大量自动化噪音攻破，让安全运维精力集中在更具针对性的威胁上。
Linux系统SSH端口修改实战
Linux系统主要通过SSH协议进行远程管理,修改端口需要编辑配置文件并调整防火墙规则，操作需严谨以防失联。
修改SSH配置文件
登录服务器后，使用文本编辑器（如vim或nano）打开SSH配置文件：
vim /etc/ssh/sshd_config
找到 #Port 22 这一行，去掉注释符号“#”，并将22修改为您预设的高位端口，Port 52222。建议在修改初期保留22端口作为备用，待新端口测试连通无误后再关闭旧端口，防止配置错误导致无法连接。
配置防火墙放行
修改端口后，必须同步更新防火墙策略，如果使用的是firewalld：
firewall-cmd --zone=public --add-port=52222/tcp --permanent
firewall-cmd --reload
若使用iptables，则需添加相应ACCEPT规则。切记，在重启SSH服务之前，务必确认防火墙已放行新端口，否则连接将被防火墙阻断。
重启服务并验证
执行 systemctl restart sshd 重启SSH服务，此时不要断开当前会话，应新建一个终端窗口尝试连接新端口，确认无误后方可彻底关闭旧的22端口。
Windows系统RDP端口修改策略
Windows远程桌面服务的端口修改相对隐蔽,需要通过注册表编辑器完成。
注册表修改路径
打开“运行”输入 regedit，定位至以下路径：
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWdsrdpwdTdstcp
以及
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp
在这两个路径下，找到名为 PortNumber 的DWORD值，将其数值数据修改为新的端口号（如53389），基数选择“十进制”。
防火墙与重启
修改注册表后，需在“高级安全Windows Defender防火墙”中新建“入站规则”，放行TCP协议的新端口。完成配置后，必须重启服务器才能使RDP端口变更生效。 这一点与Linux不同，运维人员需提前规划重启窗口。
西西云实战案例：安全组与系统防火墙的双重防御
在实际的云服务器运维场景中,单纯修改系统端口并不足以应对复杂的网络环境。西西云在处理某电商客户的高并发安全事件时，小编总结出了一套“安全组优先+系统防火墙兜底”的端口管理经验。
该客户曾因遭受SSH暴力免费导致服务器负载飙升,我们不仅协助客户将SSH端口修改为高位端口，更关键的是利用西西云控制台的安全组功能实施了严格的访问控制。
经验方案：
我们在西西云控制台的安全组设置中，直接拒绝了除客户办公网IP段以外的所有IP对远程端口（包括新端口）的访问请求，这种“网络层拦截”比服务器内部的防火墙更高效，因为恶意流量在到达服务器之前就被清洗过滤，极大地降低了服务器系统的I/O压力。
为了防止办公网IP变动导致无法连接,我们在安全组中保留了一个极窄的高位端口作为“备用通道”，仅允许特定IP访问，这种“修改端口+IP白名单+安全组策略”的组合拳，成功将该客户的服务器被攻破拦截率提升至99.9%，且未对正常业务流量造成任何延迟影响，这一案例证明，云环境下的端口安全必须结合云平台自身的网络能力，才能达到最佳防护效果。
高级安全加固建议
除了修改端口,还有几个关键步骤能进一步提升远程访问的安全性。
禁用密码登录，强制密钥认证
密码认证极易被撞库免费。生成SSH密钥对，将公钥上传至服务器，并在sshd_config中设置 PasswordAuthentication no，强制使用密钥登录。 私钥文件本身具有极高的复杂度，且可设置 passphrase，安全性远超常规密码。
启用双重验证（2FA/MFA）
对于极高安全要求的服务器，可配置Google Authenticator等双因素认证模块，即使私钥泄露或密码被免费，攻破者没有动态验证码也无法登录。
端口敲门
这是一种隐蔽性极高的技术，服务器默认关闭远程端口，只有当客户端按特定顺序访问一组预设端口后，防火墙才会动态开放真正的远程端口，这能完美隐藏远程服务的存在。
常见问题与故障排查
在端口设置过程中,遇到“修改端口后无法连接”是最常见的问题，排查逻辑应遵循由外向内、由简入繁的原则。
排查步骤：
- 检查本地网络与IP： 确认是否因IP变动被白名单拦截。
- 检测端口连通性： 使用 telnet [IP] [端口] 或 nmap 工具扫描新端口，如果显示“Filtered”或“Closed”，说明防火墙未放行或服务未启动。
- 检查服务状态： 登录服务器控制台（如西西云VNC控制台），查看SSH或RDP服务是否正常运行，监听地址是否为 0.0.0（所有接口）而非 0.0.1（本地回环）。
- 审查安全组与防火墙： 重点检查云平台安全组是否放行，服务器内部防火墙是否生效。
相关问答
问：修改远程端口后，是否就不需要设置复杂的密码或密钥了？
答：绝对错误。 修改端口属于“隐蔽式安全”，它只能减少被自动化扫描发现的概率，但不能阻止针对性的攻破，一旦攻破者发现了新端口，依然可以进行暴力免费。修改端口必须与强密码策略、密钥认证、双因素认证等身份验证手段结合使用，才能构建完整的安全防线。
问：云服务器的安全组规则和服务器内部防火墙（如iptables、firewalld）有什么区别，应该以哪个为准？
答：两者属于不同层级的防御。 云平台的安全组属于虚拟网络层防火墙，在数据包到达服务器网卡之前进行过滤，性能更高且不消耗服务器资源，服务器内部防火墙属于系统层，控制粒度更细（如针对进程、用户进行限制）。最佳实践是“双重配置”：先在安全组设置大范围的访问控制（如仅允许特定IP段），再在服务器内部防火墙设置精细规则。 只有两者同时放行，端口才能连通。
