修改 sshd_config 端口
$vi/etc/ssh/sshd_config
取消#Port 22的注释，在下一行添加你需要修改的新端口Port 2048。（这里不删除 22 端口是为了防止修改后新端口无法访问，造成无法用 ssh 连接服务器。）
Port22 Port2048
修改保存 sshd_config 文件后重启 sshd 服务：
Bash
$systemctlrestartsshd
退出 ssh 会话后，再用新的端口连接：
Bash
$ssh-p2048root@example.com ssh:connecttohost0.0.0.0port2048:Connectionrefused
好吧，native 了……对于 CentOS 7 这一套修改端口的方法已经不能生效了。
打开SELinux端口
SELinux 全称 Security Enhanced Linux (安全强化 Linux)，是 MAC (Mandatory Access Control，强制访问控制系统)的一个实现，目的在于明确的指明某个进程可以访问哪些资源(文件、网络端口等)。
对于 ssh，SELinux 默认只允许 22 端口，我们可以用 SELinux 管理配置工具 semanage，来修改 ssh 可访问的端口。
安装 semanage 工具
Bash
$yumprovidessemanage $yum-yinstallpolicycoreutils-python
为 ssh 打开 2048 端口
Bash
#为ssh添加新的允许端口$semanageport-a-tssh_port_t-ptcp2048#查看当前SELinux允许的端口$semanageport-l|grepsshssh_port_ttcp2048,22
错误处理
当 SELINUX 配置为禁用状态时，使用 semanage 会报错提示无法读取 policy 文件：
SELinux:Couldnotdowngradepolicyfile/etc/selinux/targeted/policy/policy.30,searchingforanolderversion. SELinux:Couldnotopenpolicyfile<=/etc/selinux/targeted/policy/policy.30:Nosuchfileordirectory /sbin/load_policy:Can'tloadpolicy:Nosuchfileordirectory libsemanage.semanage_reload_policy:load_policyreturnederrorcode2.(Nosuchfileordirectory). FileNotFoundError:[Errno2]Nosuchfileordirectory
修改/etc/selinux/config配置，启用 SELinux：
Bash
$vi/etc/selinux/config SELINUX=permissive #重启服务器$init6#重启后查看SELinux状态$sestatus#ifitshowsdisable,youcanrun$load_policy-qi
检查配置：
Bash
$semanageport-a-tssh_port_t-ptcp2048 $semanageport-l|grepsshssh_port_ttcp2048,22 #重启ssh服务systemctlrestartsshd
注：semange 不能禁用 ssh 的 22 端口：
Bash
$semanageport-d-tssh_port_t-ptcp22 ValueError:在策略中定义了端口tcp/22，无法删除。
配置防火墙 firewalld
启用防火墙 && 查看防火墙状态：
Bash
$systemctlenablefirewalld $systemctlstartfirewalld $systemctlstatusfirewalld ●firewalld.service-firewalld-dynamicfirewalldaemon Loaded:loaded(/usr/lib/systemd/system/firewalld.service;enabled;vendorpreset:enabled) Active:active(running)since二2016-12-2002:12:59CST;1day13hago MainPID:10379(firewalld) CGroup:/system.slice/firewalld.service └─10379/usr/bin/python-Es/usr/sbin/firewalld--nofork--nopid $firewall-cmd--state running
查看防火墙当前「默认」和「激活」zone（区域）：
Bash
$firewall-cmd--get-default-zone public $firewall-cmd--get-active-zones public interfaces:eth0eth1
若没有激活区域的话，要执行下面的命令。
激活 public 区域，增加网卡接口：
Bash
$firewall-cmd--set-default-zone=public $firewall-cmd--zone=public--add-interface=eth0 success $firewall-cmd--zone=public--add-interface=eth1 success
为 public zone 永久开放 2048/TCP 端口：
Bash
#以防新端口不生效，先把22端口暴露$firewall-cmd--permanent--zone=public--add-port=22/tcp $firewall-cmd--permanent--zone=public--add-port=2048/tcp success #重载防火墙$firewall-cmd--reload#查看暴露端口规则$firewall-cmd--permanent--list-port 443/tcp80/tcp22/tcp2048/tcp $firewall-cmd--zone=public--list-all public(default,active) interfaces:eth0eth1 sources: services:dhcpv6-clientssh ports:443/tcp80/tcp22/tcp2048/tcp masquerade:no forward-ports: icmp-blocks: richrules:
退出 ssh 后，尝试连接新端口
Bash
$ssh-p2048root@example.com
成功登录的话，就可以做收尾工作了。
禁用 22 端口
删除 ssh 允许端口
Bash
$vi/etc/ssh/sshd_config#Port22Port2048 $systemctlrestartsshd#用ss命令检查ssh监听的端口，没有22证明修改成功$ss-tnlp|grepsshLISTEN0128*:2048*:*users:(("sshd",18233,3))
防火墙移除 22 端口
Bash
$firewall-cmd--permanent--zone=public--remove-port=22/tcp success $firewall-cmd--reload $firewall-cmd--permanent--list-port 443/tcp80/tcp2048/tcp
ssh 取消监听 22 端口，就已经配置好了，防火墙只不过是在 ssh 外多一层访问限制。如果要做的更好还可以将 22 端口的访问流量转向访问者本地：
Bash
$firewall-cmd--permanen--zone=public--add-forward-port=port=22:proto=tcp:toport=22:toaddr=127.0.0.1#配置后重载防火墙，用ssh-p22root@example.com就会访问到自己本地的22端口。
若要删除 forward 配置，可以：
Bash
$firewall-cmd--permanen--zone=public--remove-forward-port=port=22:proto=tcp:toport=22:toaddr=127.0.0.1
检验修改 ssh 端口是否成功：
Bash
$ssh-p22root@example.com#无响应，因为转到了本地的22端口#若防火墙未forward连接，则会回显"ssh:connecttohost{ip}port22:Connectionrefused"$ssh-p2048root@example.com#成功success