服务器SSH被暴力破解怎么办？防护与排查步骤

📌 先看结论

核心结论：SSH 默认 22 端口+密码登录，每天都会被全球扫描器爆破。处理分两步：应急（封 IP、改强密码）→ 根治（密钥登录+fail2ban 自动封禁）。密钥登录开启后，密码爆破直接失效，是性价比最高的安全设置。

确认被爆破

1. 看登录失败日志：Linux grep "Failed password" /var/log/secure（或 auth.log），失败记录来自多个陌生 IP=正在被爆破。
2. 看是否已有成功登录（Accepted）：有就按‘被入侵’流程处理（改密码、查后门、查公钥）。
3. 统计来源 IP：grep "Failed" /var/log/secure | awk '{print $(NF-3)}' | sort | uniq -c，找出高频 IP。

应急与根治

1. 应急：把爆破来源 IP 加入防火墙黑名单（iptables/firewalld 或安全组封禁）；改成强密码（20 位+随机）争取时间。
2. 根治-密钥登录：本地生成密钥对 ssh-keygen，把公钥加到服务器 ~/.ssh/authorized_keys，sshd_config 设 PasswordAuthentication no，重启 sshd。
3. 根治-fail2ban：安装 fail2ban，配置 sshd jail：5 次失败自动封禁 10 分钟（可调），爆破机 IP 自动拉黑。
4. 其他：SSH 换端口（可选）、禁 root 直登（PermitRootLogin no）、安装云厂商的安全告警。

安全组/防火墙配合

• 云安全组只对白名单 IP 开放 SSH 端口（固定办公 IP 时最省心）。
• 无法限 IP 的，至少换端口+密钥登录+fail2ban 三件套。
• 开启云监控：SSH 登录成功/失败告警，异常登录第一时间短信通知。
• 数据库/面板等管理端口同理：能限 IP 就限，不能就双因素。

防护成本参考

🔗 延伸阅读：更多选型指南

💡 官方价格参考

❓ 常见问题