SSH安全加固需聚焦三步：用ed25519密钥替代密码登录，修改端口至高位非标端口（如3344），并限制IP来源白名单或配合fail2ban封禁；三者协同可阻断90%自动化攻击。
Linux服务器通过SSH暴露在公网时，安全风险很高。单纯依赖密码登录容易被暴力破解，开放默认22端口也等于给攻击者指路。真正有效的加固不是“越复杂越好”，而是聚焦三个关键点：用密钥替代密码、改掉默认端口、限制访问来源——这三步做完，90%的自动化扫描和爆破就失效了。
用SSH密钥登录，彻底告别密码验证密码登录是最大短板，即使设了强密码，仍可能被离线字典攻击或撞库利用。密钥登录基于非对称加密，私钥本地保管，公钥放在服务器上，中间无法截获或伪造。
本地生成密钥对（推荐ed25519算法，更安全且更快）：ssh-keygen -t ed25519 -C "your_email@example.com"
把公钥上传到服务器：
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@server_ip登录测试成功后，编辑/etc/ssh/sshd_config，确认以下两行已启用并设为no：PubkeyAuthentication yes PasswordAuthentication no
重启服务：
sudo systemctl restart sshd修改SSH端口，避开主流扫描器的默认目标绝大多数自动扫描工具只扫22端口。换一个高位端口（如2222、3344、5678等），能直接过滤掉大量低级攻击流量，不是“隐藏”而是“降低可见性”。
Docker Desktop（linux）
当前 Docker 最新稳定版本之一，主要针对稳定性和兼容性进行了修复优化，适合生产环境与日常开发使用。该版本继续强化 AI 开发支持、容器日志管理以及 Docker Engine 的安全能力，对 Windows/macOS/Linux 平台兼容性进行了进一步优化。
下载编辑/etc/ssh/sshd_config
，取消注释或添加：
Port 3344（选1024–65535之间未被占用的端口）
防火墙放行新端口（以ufw为例）：sudo ufw allow 3344
，再禁用22：
sudo ufw deny 22 SELinux用户需额外设置（如启用）：sudo semanage port -a -t ssh_port_t -p tcp 3344重启sshd前，建议先开一个保留的会话窗口，避免锁死。确认新端口可连后再关闭旧端口规则。
限制登录来源IP，从源头缩小攻击面如果管理IP固定（比如公司出口IP或家庭宽带），直接白名单是最省心的防御。哪怕不能完全固定，也能配合fail2ban做动态封禁。
用iptables限制仅允许某IP段连接SSH：sudo iptables -A INPUT -p tcp --dport 3344 -s 203.0.113.0/24 -j ACCEPT
拒绝其他所有SSH连接：
sudo iptables -A INPUT -p tcp --dport 3344 -j DROP保存规则（Ubuntu/Debian）：sudo iptables-save | sudo tee /etc/iptables/rules.v4更进一步可部署fail2ban：监控/var/log/auth.log，连续失败5次就自动封IP 10分钟，防试探性爆破。
基本上就这些。不需要装一堆插件或改内核参数，密钥+非标端口+IP限制，三者组合就能让SSH从“敞开大门”变成“需要敲门、报暗号、验身份”。操作一次，长期受益。