*Cube-Host– облачный хостинг!!

получить консультацию
WhatsApp Telegram
RU

Изменение нестандартного порта: как повысить безопасность сервера

Changing a non-standard port how to enhance server security

Изменение нестандартного порта: как повысить безопасность сервера

Изменение портов по умолчанию (таких как SSH 22 или RDP 3389) — это практичный способ уменьшить количество автоматических сканирований и попыток взлома методом перебора. Это не «волшебная защита», но полезный элемент стратегии многоуровневой защиты — особенно на публичном VPS-хостинге.

В этом руководстве показано, как безопасно изменить порты на VPS под Linux (SSH) и на VPS под Windows (RDP), как избежать блокировки доступа и как проверить работу брандмауэра и подключения.

Что на самом деле улучшает нестандартный порт (а что нет)

  • Улучшает: уменьшает количество фоновых сканирований и «парольного спрея», снижает шум в логах, уменьшает случайные попытки подбора паролей методом перебора.
  • Не заменяет: надежную аутентификацию, ограничения брандмауэра, обновления и средства защиты от вторжений.
  • Лучший вариант использования: сочетайте смену порта с ограничениями по IP (разрешайте только свои адреса) и аутентификацией на основе ключей (Linux) или ограниченной областью действия NLA (Windows).

Золотое правило: не заблокируйте себе доступ

Перед изменением любого порта управления:

  • Убедитесь, что у вас есть доступ к консоли провайдера / аварийному доступу.
  • Сначала откройте новый порт в брандмауэре провайдера и брандмауэре сервера.
  • Оставьте старый порт активным, пока не убедитесь, что вход на новый работает.
  • Задокументируйте новый порт (менеджер паролей команды / руководство по эксплуатации).

Linux: безопасное изменение порта SSH (пример для Ubuntu/Debian)

На VPS под управлением Linux SSH обычно является целью № 1. Самый безопасный алгоритм действий: разрешить новый порт → настроить SSH → перезапустить → протестировать → затем закрыть старый порт.

Шаг 1 — Выберите новый порт и проверьте, свободен ли он

Выберите порт, например 2222, 22022 или любой другой высокий порт, который не используется вашими сервисами.

# Check if a port is already in use (replace 2222)
sudo ss -lntp | grep ':2222' || echo "Port 2222 is free"

Шаг 2 — Откройте новый порт в брандмауэре (пример с UFW)

# Allow new SSH port
sudo ufw allow 2222/tcp

# Keep existing SSH port until you verify access
sudo ufw allow 22/tcp

sudo ufw status

Если вы не используете UFW, откройте порт в вашем инструменте брандмауэра (iptables/nftables/firewalld) и также убедитесь, что он разрешен в брандмауэре панели вашего провайдера VPS-хостинга.

Шаг 3 — Измените конфигурацию SSH-демона

Отредактируйте конфигурацию SSH:

sudo nano /etc/ssh/sshd_config

Установите (или добавьте) следующие строки:

Port 2222
# Keep this enabled
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes

Совет: Безопаснее сначала убедиться, что вход по ключу работает, и только потом отключить пароли.

Шаг 4 — Проверьте конфигурацию и перезапустите SSH

sudo sshd -t
sudo systemctl restart ssh
sudo systemctl status ssh --no-pager

Шаг 5 — Проверьте соединение на новом порту (сделайте это ДО закрытия порта 22)

# From your local PC
ssh -p 2222 user@SERVER_IP

Только после успешного входа на новый порт:

sudo ufw delete allow 22/tcp
sudo ufw status

Windows: Безопасная смена порта RDP (Windows Server / Windows VPS)

На VPS с Windows изменение порта RDP может уменьшить количество автоматических сканирований, но вам также следует ограничить правило по IP и оставить NLA включенным. Если возможно, рассмотрите использование RD Gateway / VPN для внешнего доступа.

Шаг 1 — Выберите новый порт RDP и откройте его в брандмауэре провайдера

Выберите порт, например 3390 или 53389. Сначала откройте его в брандмауэре провайдера в панели управления VPS, чтобы избежать ситуации, когда «внутри работает, а снаружи нет».

Шаг 2 — Измените порт RDP в реестре

Запустите PowerShell от имени администратора на сервере (в примере используется 53389):

# Set new RDP port (Decimal)
$NewPort = 53389
Set-ItemProperty -Path 'HKLM:SystemCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp' -Name 'PortNumber' -Value $NewPort

Шаг 3 — Создайте правило брандмауэра Windows для нового порта

# Allow inbound TCP on the new port
New-NetFirewallRule -DisplayName "RDP (TCP $NewPort)" -Direction Inbound -Protocol TCP -LocalPort $NewPort -Action Allow

Рекомендуемая практика: ограничьте доступ по вашему IP-адресу (замените x.x.x.x):

New-NetFirewallRule -DisplayName "RDP (TCP $NewPort) - My IP only" `
  -Direction Inbound -Protocol TCP -LocalPort $NewPort -RemoteAddress x.x.x.x -Action Allow

Шаг 4 — Перезапустите службы удаленного рабочего стола (или перезагрузите систему)

Перезагрузка — самый простой и надежный способ. Если вы не можете перезагрузить систему сразу, перезапустите службу (это может привести к сбою текущего сеанса):

Restart-Service TermService -Force

Шаг 5 — Проверьте с вашего ПК

С клиентского компьютера под управлением Windows:

Test-NetConnection SERVER_IP -Port 53389

В mstsc подключитесь следующим образом: SERVER_IP:53389

Контрольный список для быстрой проверки

  • Новый порт разрешен в брандмауэре провайдера и брандмауэре сервера.
  • Служба прослушивает новый порт (ss/netstat проверки).
  • Вы можете войти в систему через новый порт, прежде чем отключить старый.
  • Учетные данные и политики ключей/NLA остаются действительными после изменений.
  • У команды есть документация по новому порту и пути доступа.

Заключение

Изменение порта по умолчанию — это хороший шаг по «уменьшению шума» и укреплению безопасности, но настоящая безопасность обеспечивается надежной аутентификацией и ограниченным доступом. Используйте это в рамках многоуровневого подхода на вашем VPS под Linux или Windows на профессиональном VPS-хостинге.

Prev

More articles:

Menu