日志里全是 22 端口的尝试

打开 SSH 日志，陌生 IP 的登录失败记录能刷好几屏，用户名从 root 试到 admin。这几乎是所有公网机器的常态。

但你看到的是「已经被拒绝的」。真正要确认的是另一件事：这个端口从外面到底能不能连上，谁能连上。

改端口只是挪了个门牌

把 22 改成 2222，日志会安静一阵，因为大部分自动化扫描只打默认端口。可这不叫安全，全端口扫一遍就能找回来。

我见过把改端口当成唯一措施的：密码还是弱口令，root 还允许直接登录。门牌换了，锁没换。真要挡住自动化爆破，靠的是认证策略和访问控制，不是端口号。

宝塔拨测控制台：定时拨测任务、节点与告警配置

宝塔拨测控制台：定时拨测任务、节点与告警配置

真正的控制在这几处

密钥登录，禁用密码认证；禁止 root 直接登录，用普通账号再提权；限制来源地址，只允许固定办公 IP 或跳板机；给 SFTP 用户做 chroot，只能看到自己的目录。

这些做完，端口开在哪里就没那么要命了。改的顺序也别乱：先把密钥配好并确认能登录，再关密码认证，反过来很容易把自己锁在门外。

从外面确认暴露面

配置改完，得知道结果。在宝塔拨测的控制台里做 TCP 探测，指定 SSH 端口，从多个地区、多个运营商的节点发起，看哪些能连、哪些连不上。

如果只放行特定来源，大部分节点应该超时，只有你白名单里的出口能通，这才是预期结果。所有节点都能连，说明安全组或防火墙没真正生效。

这种探测走 TCP 握手，不依赖 ICMP，机器禁 ping 也不影响结果。

让暴露面变成一项监控指标

端口状态是会变的。换安全组、加临时规则、迁移机器，都可能把 22 重新暴露出去，而且没人会主动通知你。

把 SSH 端口配成定时拨测任务，按周期从外部探测。一旦从「不可达」变成「可达」，就告警。这比事后翻日志有用得多。

告警阈值别太密。端口状态是稳定量，连续两三次结果一致再报，能过滤掉节点抖动。

改完复测，别把自己锁在外面

限制来源之前，先确认自己的出口 IP，并且留一个备用通道，比如控制台的 VNC 或者另一条带外管理。

改完用同一批节点复测：该通的通，该断的断，再实际登录一次。只看探测结果不够，认证环节也可能出问题。

该警惕的信号很具体：端口对全网开放、日志里出现成功登录的陌生 IP、同一个来源反复尝试不同用户名。出现这些，先收敛访问权限，再谈其他优化。