随着互联网技术的发展，越来越多的人开始使用服务器来部署应用程序或存储数据。为了方便管理和维护，我们需要通过SSH（Secure Shell）协议对服务器进行远程访问。默认情况下，SSH使用端口22进行通信。在开放SSH端口时，我们需要注意一些安全问题。
一、更改默认端口号
1. 修改配置文件：编辑/etc/ssh/sshd_config文件，找到“Port 22”这一行，并将其修改为其他未被占用且不容易被猜到的端口号，例如12345。然后保存并退出。
2. 重启服务：在命令行中输入“sudo systemctl restart sshd”以使更改生效。
通过更改默认端口号，可以避免攻击者轻易定位到您的SSH服务，从而提高了安全性。
二、限制登录用户
1. 禁止root直接登录：同样是在sshd_config文件中，将“PermitRootLogin yes”改为“PermitRootLogin no”。这一步非常重要，因为一旦有人获取了root权限，他们就可以完全控制整个系统。
2. 指定允许登录的用户：如果只有特定几个人需要访问服务器，可以在配置文件中添加“AllowUsers username1 username2 …”，这样就只有这些用户能够通过SSH连接到服务器。
三、启用密钥认证
1. 生成密钥对：在本地计算机上运行“ssh-keygen -t rsa”命令来创建一对RSA格式的公私钥。接着将生成的公钥复制到服务器端（通常位于~/.ssh/authorized_keys文件内），而私钥则妥善保管。
2. 关闭密码认证：再次打开sshd_config文件，找到“PasswordAuthentication yes”，将其更改为“PasswordAuthentication no”。完成之后记得重启SSH服务。
相比传统的用户名加密码组合，基于非对称加密算法的密钥认证方式更加安全可靠，同时也简化了操作流程。
四、安装防火墙规则
最后但并非最不重要的一点是，我们应该设置好服务器上的防火墙规则。对于Linux系统来说，可以使用UFW（Uncomplicated Firewall）工具来轻松实现这一点。
1. 允许指定端口：假如您之前已经更改了SSH端口号为12345，则需要执行“sudo ufw allow 12345/tcp”命令允许外部设备通过该端口与服务器建立连接。
2. 拒绝所有其他流量：为了让服务器尽可能少地暴露在网络攻击之下，建议启用默认拒绝策略：“sudo ufw default deny incoming”。根据实际需求还可以进一步细化规则，比如仅允许来自某些IP地址范围内的请求。
在确保不影响正常使用的前提下，越严格的防火墙策略往往意味着更高的安全性。
五、定期更新和监控
即使采取了上述措施，也不能保证服务器绝对安全。我们必须保持警惕，及时关注官方发布的补丁信息并尽快完成升级；同时利用日志分析软件密切关注异常行为，一旦发现可疑迹象就要立即采取行动。
