مقدمه

یکی از قدیمی‌ترین توصیه‌هایی که تقریباً هر مدیر سرور تازه‌کار با آن روبه‌رو می‌شود این است:

«پورت SSH را از 22 به یک پورت دیگر تغییر بده تا امنیت سرور بیشتر شود.»

اما آیا این توصیه هنوز هم در سال‌های اخیر معتبر است؟

آیا تغییر پورت SSH واقعاً از نفوذ به سرور جلوگیری می‌کند یا فقط یک باور قدیمی در دنیای امنیت است؟

در این مقاله، این موضوع را از دیدگاه فنی بررسی می‌کنیم و نحوه تغییر صحیح پورت SSH را نیز آموزش خواهیم داد.

پورت پیش‌فرض SSH

به‌صورت پیش‌فرض، سرویس SSH روی پورت 22/TCP اجرا می‌شود.

هر زمان دستور زیر را اجرا کنید:

ssh user@SERVER_IP

در واقع اتصال به پورت 22 برقرار می‌شود.

اگر پورت تغییر کرده باشد باید آن را مشخص کنید.

برای مثال:

ssh -p 2222 user@SERVER_IP

چرا بسیاری از افراد پورت SSH را تغییر می‌دهند؟

دلیل اصلی این کار، کاهش تعداد حملات خودکار است.

بخش بزرگی از ربات‌هایی که اینترنت را اسکن می‌کنند، تنها پورت 22 را بررسی می‌کنند.

اگر SSH روی پورت دیگری اجرا شود، بسیاری از این اسکن‌های ساده دیگر به سرور شما نمی‌رسند.

در نتیجه:

• تعداد لاگ‌های حمله کمتر می‌شود.
• تعداد تلاش‌های ناموفق ورود کاهش پیدا می‌کند.
• بار اضافی ناشی از ربات‌های ساده کاهش می‌یابد.

آیا تغییر پورت امنیت واقعی ایجاد می‌کند؟

پاسخ کوتاه:

خیر، به‌تنهایی خیر.

تغییر پورت SSH یک لایه امنیتی مستقل محسوب نمی‌شود.

اگر مهاجم از ابزارهای حرفه‌ای مانند Nmap یا Masscan استفاده کند، تمام پورت‌های باز سرور را در مدت کوتاهی شناسایی خواهد کرد.

برای مثال:

nmap -p- SERVER_IP

این دستور تمام 65535 پورت TCP را بررسی می‌کند.

بنابراین اگر SSH روی پورت 45221 نیز اجرا شود، همچنان قابل شناسایی خواهد بود.

پس چرا هنوز بسیاری از مدیران سیستم این کار را انجام می‌دهند؟

زیرا تغییر پورت، باعث کاهش حجم حملات خودکار می‌شود.

به عبارت دیگر:

• در برابر مهاجم حرفه‌ای تقریباً هیچ تأثیری ندارد.
• در برابر ربات‌های عمومی اینترنت تا حدی مؤثر است.

به همین دلیل نباید آن را جایگزین اقدامات اصلی امنیتی دانست.

مفهوم Security Through Obscurity

تغییر پورت نمونه‌ای از مفهومی به نام Security Through Obscurity است.

یعنی:

امنیت از طریق مخفی کردن اطلاعات.

این روش می‌تواند تعداد حملات ساده را کاهش دهد، اما نباید تنها راهکار امنیتی باشد.

امنیت واقعی باید بر پایه مواردی مانند:

• SSH Key Authentication
• غیرفعال کردن Root Login
• غیرفعال کردن Password Authentication
• Fail2Ban
• Firewall
• MFA (در صورت امکان)

ایجاد شود.

چه زمانی تغییر پورت مفید است؟

در این شرایط تغییر پورت می‌تواند مفید باشد:

• سرور مستقیماً روی اینترنت قرار دارد.
• لاگ‌های SSH مملو از حملات Brute Force هستند.
• از Fail2Ban استفاده می‌کنید و می‌خواهید تعداد حملات کاهش پیدا کند.
• قصد دارید نویز (Noise) موجود در لاگ‌ها کمتر شود.

چه زمانی تغییر پورت کافی نیست؟

اگر:

• همچنان ورود با رمز عبور فعال باشد.
• Root Login فعال باشد.
• رمز عبور ضعیف استفاده شود.
• SSH Key راه‌اندازی نشده باشد.

تغییر پورت تقریباً تأثیر قابل توجهی در امنیت نخواهد داشت.

نحوه تغییر پورت SSH

ابتدا فایل تنظیمات SSH را باز کنید.

sudo nano /etc/ssh/sshd_config

دنبال گزینه زیر بگردید:

#Port 22

یا

Port 22

آن را به پورت دلخواه تغییر دهید.

برای مثال:

Port 2222

انتخاب پورت مناسب

بهتر است از پورتی استفاده کنید که:

• توسط سرویس دیگری اشغال نشده باشد.
• جزو پورت‌های شناخته‌شده نباشد.
• در بازه پورت‌های Dynamic یا Private قرار داشته باشد.

برای مثال:

2222
22022
45221
50222

باز کردن پورت جدید در فایروال

اگر از UFW استفاده می‌کنید:

sudo ufw allow 2222/tcp

در صورت استفاده از Firewalld:

sudo firewall-cmd --permanent --add-port=2222/tcp
sudo firewall-cmd --reload

قبل از بستن پورت 22، مطمئن شوید پورت جدید در فایروال باز شده است.

بررسی صحت تنظیمات

قبل از راه‌اندازی مجدد SSH:

sudo sshd -t

اگر خروجی نمایش داده نشود، یعنی فایل تنظیمات صحیح است.

اعمال تغییرات

در Ubuntu و Debian:

sudo systemctl restart ssh

در AlmaLinux و Rocky Linux:

sudo systemctl restart sshd

تست اتصال

هرگز نشست فعلی SSH را نبندید.

ابتدا در یک ترمینال جدید اتصال را بررسی کنید.

ssh -p 2222 username@SERVER_IP

اگر ورود موفق بود، سپس می‌توانید نشست قبلی را ببندید.

بررسی پورت در حال استفاده

برای مشاهده اینکه SSH روی چه پورتی در حال اجراست:

ss -tlnp | grep ssh

نمونه خروجی:

LISTEN 0 128 *:2222

آیا باید پورت 22 را ببندیم؟

اگر تصمیم گرفته‌اید فقط از پورت جدید استفاده کنید، پس از اطمینان از عملکرد صحیح آن، می‌توانید پورت 22 را از فایل تنظیمات حذف کرده و در فایروال نیز ببندید.

این کار باعث می‌شود SSH فقط روی پورت جدید در دسترس باشد.

اشتباهات رایج

برخی از اشتباهات متداول عبارت‌اند از:

• تغییر پورت بدون باز کردن آن در فایروال
• بستن نشست فعلی قبل از تست اتصال جدید
• انتخاب پورتی که توسط سرویس دیگری استفاده می‌شود
• تصور اینکه تغییر پورت به‌تنهایی امنیت سرور را تضمین می‌کند
• فراموش کردن ثبت پورت جدید در مستندات یا ابزارهای مانیتورینگ

بهترین روش‌ها

برای ایمن‌سازی واقعی SSH:

• از SSH Key Authentication استفاده کنید.
• ورود مستقیم Root را غیرفعال کنید.
• Password Authentication را غیرفعال کنید.
• از Fail2Ban استفاده کنید.
• دسترسی SSH را در صورت امکان فقط به IPهای مشخص محدود کنید.
• در صورت نیاز، پورت پیش‌فرض را نیز تغییر دهید.

چک‌لیست

پس از تغییر پورت SSH، موارد زیر را بررسی کنید:

• پورت جدید در فایل sshd_config ثبت شده است.
• پورت جدید در فایروال باز است.
• تنظیمات SSH بدون خطا هستند.
• اتصال روی پورت جدید با موفقیت انجام می‌شود.
• در صورت نیاز، پورت 22 غیرفعال شده است.
• ابزارهای مانیتورینگ و اسکریپت‌های مدیریتی با پورت جدید به‌روزرسانی شده‌اند.

جمع‌بندی

تغییر پورت SSH یک اقدام امنیتی مکمل است، نه یک راهکار اصلی. این کار می‌تواند تعداد حملات خودکار و تلاش‌های ناموفق برای ورود را کاهش دهد، اما در برابر مهاجمانی که از ابزارهای اسکن حرفه‌ای استفاده می‌کنند، به‌تنهایی محافظت مؤثری ایجاد نمی‌کند.

اگر تصمیم به تغییر پورت SSH دارید، آن را در کنار اقداماتی مانند SSH Key Authentication، غیرفعال کردن ورود Root، غیرفعال کردن ورود با رمز عبور، استفاده از Fail2Ban و محدود کردن دسترسی بر اساس IP انجام دهید. امنیت واقعی از ترکیب چندین لایه دفاعی به دست می‌آید، نه از اتکا به یک تغییر ساده در شماره پورت.

کیان پور