SSH Portu Nasıl Değiştirilir? (Adım Adım Güvenlik)

İnternete açık her sunucunun 22 portu, gün boyunca otomatik parola deneme botları tarafından taranır. Portu değiştirmek bu gürültünün büyük bölümünü keser. Tek başına bir güvenlik duvarı değildir ama günlük kayıtlarınızı temizler ve kaba kuvvet denemelerini azaltır.

1. Yeni portu seçin

1024–65535 aralığında, başka bir servisin kullanmadığı bir port seçin. Web (80/443), oyun portları ve veritabanı portlarıyla çakışmasın.

2. Yapılandırmayı düzenleyin

nano /etc/ssh/sshd_config

Dosyada #Port 22 satırını bulun, başındaki # işaretini kaldırın ve yeni portu yazın:

Port 2222

3. Güvenlik duvarında portu açın

Bu adımı atlarsanız yeni porta bağlanamazsınız. Ubuntu/Debian (ufw):

ufw allow 2222/tcp

AlmaLinux/CentOS (firewalld):

firewall-cmd --permanent --add-port=2222/tcp
firewall-cmd --reload

SELinux kullanan sistemlerde ayrıca porta izin vermek gerekir:

semanage port -a -t ssh_port_t -p tcp 2222

4. Servisi yeniden başlatın — ama oturumu kapatmayın

systemctl restart sshd

Önemli: Mevcut SSH oturumunuzu kapatmayın. Yeni bir terminal açıp yeni porttan bağlanmayı deneyin:

ssh -p 2222 root@SUNUCU_IP

Bağlantı başarılıysa eski oturumu kapatabilirsiniz. Başarısızsa açık oturumunuzdan ayarı geri alırsınız. Bu sıralama, kendinizi sunucunun dışında bırakmanızı engeller.

Portu değiştirmek yetmez: asıl önlemler

• Parola girişini kapatın: SSH anahtarı kurduktan sonra PasswordAuthentication no ayarı kaba kuvvet saldırılarını tamamen etkisiz bırakır.
• Root ile doğrudan girişi kısıtlayın: PermitRootLogin prohibit-password anahtarla girişe izin verir, parolayla girişi kapatır.
• Fail2ban kurun: Tekrarlayan başarısız denemelerde IP'yi geçici olarak engeller.
• Mümkünse IP kısıtlayın: Sabit IP'niz varsa güvenlik duvarında SSH portunu yalnızca o adrese açın.

Anahtar tabanlı girişe geçiş (önerilen sıra)

1. Kendi bilgisayarınızda anahtar üretin: ssh-keygen -t ed25519
2. Açık anahtarı sunucuya kopyalayın: ssh-copy-id root@SUNUCU_IP
3. Yeni bir terminalde anahtarla bağlanabildiğinizi doğrulayın.
4. Ancak bundan sonra sshd_config içinde PasswordAuthentication no yapın ve servisi yeniden başlatın.

Sıralama önemlidir: parola girişini, anahtarla bağlandığınızı doğrulamadan kapatmayın.

Fail2ban ile otomatik engelleme

apt install fail2ban
systemctl enable --now fail2ban
fail2ban-client status sshd

Varsayılan ayarlarla bile fail2ban, tekrarlayan başarısız denemelerden sonra IP'yi geçici olarak engeller. Yeni SSH portunu kullanıyorsanız jail ayarında portu güncellemeyi unutmayın.

Kontrol listesi

• Yeni port güvenlik duvarında açık mı?
• Yeni porttan bağlantı doğrulandı mı?
• SSH ana