SSH: какой порт используется и как его узнать или сменить — инструкция для новичка

Какой порт использует SSH по умолчанию

SSH (Secure Shell, «защищённая оболочка») по умолчанию использует порт 22 и протокол TCP. Этот номер закреплён за SSH в реестре IANA (организации, которая распределяет номера портов), а сам протокол описан в RFC 4253.

Порт — это «дверь» на сервере с номером от 0 до 65 535. Каждый сервис слушает свою: SSH — порт 22, HTTP — 80, HTTPS — 443. Подробнее о том, что такое порт, читайте в статье о портах простыми словами.

На VPS порт 22 обычно открыт сразу после выдачи сервера, поэтому для первого входа достаточно IP-адреса и пароля. Например, для сервера с адресом 203.0.113.10 команда выглядит так: ssh root@203.0.113.10. Если всё верно, через 2–3 секунды SSH запросит пароль.

Две команды подключения и файл с номером порта:

• ssh user@ip — подключение к порту 22, номер указывать не нужно;
• ssh -p 2222 user@ip — подключение к нестандартному порту, ключ -p задаёт его номер;
• /etc/ssh/sshd_config — файл сервера, где директива Port хранит текущий номер.

Если администратор не менял настройки, ваш сервер принимает SSH-подключения именно на 22-м порту. Типичная ошибка новичка — пытаться зайти на порт 22 после того, как порт уже сменили: вместо запроса пароля вы получите Connection refused или зависание на 30–60 секунд. В этом случае уточните актуальный номер у администратора или в панели VPS.

Как работает порт SSH: клиент, сервер и TCP

На сервере работает программа sshd (демон SSH). Она слушает один порт и ждёт входящих запросов. По умолчанию это порт 22. Порт — это номер «двери» на IP-адресе, всего таких номеров 65 535.

Клиент (терминал или PuTTY) отправляет запрос на адрес вида 203.0.113.10:22: IP-адрес сервера и номер порта через двоеточие. Устанавливается TCP-соединение (Transmission Control Protocol), подробнее о нём в статье что такое TCP-порт. Затем стороны согласуют шифрование, и вы входите по паролю или ключу.

Номер порта у клиента и сервера должен совпадать. Если sshd слушает 2222, а клиент стучится в 22, сервер сразу отвечает отказом, и вы видите Connection refused. Если порт закрыт файрволом, ответа нет совсем, и через 30–120 секунд клиент выдаёт Connection timed out. Для нестандартного порта укажите номер явно: ssh -p 2222 user@203.0.113.10. В PuTTY номер вводят в поле Port.

Не путайте два порта в одном соединении:

• порт сервера постоянный: 22 или тот, что задан директивой Port в файле /etc/ssh/sshd_config;
• порт клиента временный: система сама выбирает его из диапазона 49152–65535 и освобождает после закрытия сессии.

Менять нужно только порт сервера. Клиентский порт настраивать не надо: благодаря ему каждое подключение получает уникальную пару адресов. Например, две вкладки терминала к одному серверу выглядят как 198.51.100.7:50122 → 203.0.113.10:22 и 198.51.100.7:50123 → 203.0.113.10:22. Сервер отличает сессии по клиентскому порту, хотя порт назначения у них одинаковый.

Как узнать, какой порт SSH слушает сервер

Проверьте порт тремя способами: на самом сервере, в конфиге и с внешней машины. Первый способ точнее всех показывает, что SSH (Secure Shell, защищённая оболочка) слушает прямо сейчас. Выполните sudo ss -tlnp | grep sshd и найдите в выводе строку с 0.0.0.0:22. Адрес 0.0.0.0 значит, что сервер принимает подключения на всех IPv4-адресах, а число после двоеточия — это номер порта.

Второй способ — конфигурация. Выполните grep -i '^Port' /etc/ssh/sshd_config. Ответ Port 2222 означает, что SSH настроен на порт 2222. Если команда ничего не вернула или в файле стоит #Port 22, директива закомментирована, и сервер работает на стандартном порту 22.

Третий способ проверяет доступность из сети: nc -zv 203.0.113.10 22. Ответ succeeded подтверждает, что порт открыт и файрвол его не блокирует.

Если доступа к серверу нет, откройте панель хостинга: в карточке сервера обычно указаны IP-адрес и порт SSH. Проверьте и письмо с данными доступа, там часто есть готовая строка вида ssh -p 2222 root@IP. Если порта нигде нет, пробуйте 22.

Как сменить порт SSH на сервере: пошаговая инструкция

Смена порта занимает 5–7 минут. Главное правило: сначала откройте новый порт в файрволе, потом меняйте настройки сервера. Иначе вы отрежете себе доступ и придётся заходить через консоль хостинга.

Порт задаёт директива Port в файле /etc/ssh/sshd_config. В примере ниже используем порт 2222 из диапазона 1024–49151. Вам нужен сервер на Linux с Ubuntu или Debian и доступ под root. Ещё нет сервера? Подберите его в рейтинге VPS.

Как сменить порт SSH по шагам:

1. Подключитесь к серверу текущим портом 22 под root: ssh root@IP.
2. Проверьте, что порт 2222 свободен: ss -tln | grep 2222. Пустой вывод означает, что порт свободен.
3. Откройте порт в файрволе: ufw allow 2222/tcp. Если файрвол есть и в панели хостинга, добавьте там правило для TCP 2222.
4. Откройте конфигурацию: nano /etc/ssh/sshd_config. Замените строку Port 22 на Port 2222 (если строка закомментирована знаком #, уберите его). Сохраните: Ctrl+O, Enter, затем Ctrl+X.
5. Проверьте синтаксис командой sshd -t. Пустой ответ значит, что ошибок нет. Перезапустите службу: systemctl restart ssh. В части дистрибутивов она называется sshd.
6. Не закрывая старую сессию, откройте второе окно терминала и подключитесь: ssh -p 2222 root@IP. Ключ -p задаёт номер порта.
7. Когда вход по 2222 сработал, закройте порт 22: ufw delete allow 22/tcp и удалите правило в панели хостинга.

Если новое подключение не открылось, вернитесь в старую сессию, исправьте конфигурацию и повторите перезапуск.

Какой номер порта выбрать вместо 22

Всего существует 65 535 портов, и они делятся на три диапазона портов. Порты 0–1023 системные: их занимают SSH, HTTP, почта, а для запуска служб на них нужны права root. Порты 49152–65535 динамические: система выдаёт их программам на время соединения, поэтому сервис на таком порту может неожиданно столкнуться с занятым номером.

Для SSH подходит диапазон 1024–49151, где номера регистрируются за конкретными программами и большинство из них свободны. Популярные варианты: 2222, 2200 и 22022. Их легко запомнить, но автоматические сканеры проверяют такие номера тоже, поэтому можно взять любое число из середины диапазона, например 37514.

Не занимайте порты чужих служб: 3306 (MySQL), 5432 (PostgreSQL), 8080 (альтернативный HTTP). Иначе SSH не запустится или отнимет порт у базы данных.

Перед выбором проверьте, что номер свободен. Команда ss -tln выводит все порты, которые слушает сервер по протоколу TCP:

• если нужного номера нет в колонке Local Address:Port, порт свободен;
• если номер есть в списке, выберите другой;
• запишите выбранный номер: он понадобится в /etc/ssh/sshd_config и в правилах файрвола.

Учтите, что нестандартный номер сам по себе не делает сервер безопаснее. Он лишь уменьшает поток автоматических попыток входа в логах, а защиту по-прежнему обеспечивают ключи.

Ошибки Connection refused, timed out и потеря доступа

Проблемы с SSH (Secure Shell) после смены порта обычно сводятся к нескольким сообщениям: сервер отказывает в соединении, не отвечает вовсе или не принимает учётные данные. Каждое указывает на свой уровень — служба, сеть или доступ, поэтому сначала прочитайте текст ошибки, а потом проверяйте причину. Ниже разберём каждую ошибку по отдельности.

Первая ошибка: Connection refused

Сервер ответил, но на этом порту никто не слушает. Причина — неверный номер порта или не запущенный sshd. Часто всё проще: вы подключаетесь к нестандартному порту без ключа -p, клиент стучится на порт 22 и получает отказ, даже если сервер работает исправно.

Как решить: всегда указывайте порт явно — ssh -p 2222 user@ip. На сервере проверьте, что служба слушает нужный порт: ss -tlnp | grep sshd.

Вторая ошибка: Connection timed out

Ответа нет вообще: пакеты режет файрвол или фильтр в панели хостинга.

Как решить: проверьте порт с вашего компьютера командой nc -vz ip 2222, затем откройте его на сервере — ufw allow 2222/tcp.

Третья ошибка: Permission denied

Порт верный, но не подошёл логин, пароль или ключ.

Как решить: запустите ssh -v -p 2222 user@ip и посмотрите в подробном выводе, какой ключ предлагает клиент.

Четвёртая ошибка: Host key verification failed

После переустановки системы у сервера новый ключ, а клиент помнит старый и отказывается подключаться.

Как решить: удалите старую запись командой ssh-keygen -R ip и подключитесь заново.

Пятая ошибка: порт не открыт, а сессия закрыта

Вы прописали Port 2222 в /etc/ssh/sshd_config, перезапустили службу, но не открыли порт в файрволе и закрыли рабочую сессию. Новое подключение уходит в timeout, а старое уже закрыто — доступ к серверу потерян.

Как решить: пока не проверили новый порт, держите вторую сессию на порту 22. Если доступ всё же потерян, откройте консоль (VNC, Virtual Network Computing) в панели VPS — она работает мимо SSH и сети сервера. Войдите под root, откройте порт командой ufw allow 2222/tcp или верните Port 22 в конфиге и выполните systemctl restart sshd.

Почти любую проблему с подключением по SSH можно определить по тексту ошибки и исправить одной-двумя командами. Даже при полной потере доступа консоль в панели VPS спасает ситуацию: обычно восстановление занимает 2–3 минуты.

Смена порта или другие способы защитить SSH

Смена порта с 22 на другой номер убирает шум в логах: автоматические сканеры чаще всего стучатся именно в 22. Но целенаправленный сканер найдёт SSH (Secure Shell) на любом из 65 535 портов за минуты. Поэтому порт — дополнительная мера, а не главная.

Реальную защиту дают ключи, запрет root и блокировка перебора. Пароль из 8 символов подбирают за часы, а ключ ed25519 перебором практически не взломать. Все настройки делайте на VPS, к которому у вас есть второй способ входа, например консоль в панели хостинга. Про выбор нестандартного номера читайте в статье про порт 443.

Типичная ошибка: отключить пароли до того, как ключ заработал. Сначала скопируйте ключ командой ssh-copy-id user@ip, проверьте вход в новой сессии и только потом правьте конфиг. После правки примените настройки командой sudo systemctl restart sshd.

Внедряйте меры по важности:

• SSH-ключ ed25519. Создайте его командой ssh-keygen -t ed25519, затем отключите пароли: PasswordAuthentication no в /etc/ssh/sshd_config.
• Запрет root. Добавьте PermitRootLogin no и входите под обычным пользователем с sudo.
• fail2ban. Настройте бан на 10 минут после 3–5 неудачных попыток входа.
• Ограничение по IP. Разрешите порт SSH в файрволе только с ваших адресов.
• Смена порта. Последний шаг: 5–7 минут работы ради чистых логов.

Когда менять порт SSH не нужно

Смена порта занимает 5–7 минут, но подходит не всем. Если ваша сеть, например офисная, пропускает наружу только порты 22, 80 и 443, нестандартный порт вроде 2222 просто не откроется, и вы потеряете доступ с этой сети. Проверьте это заранее командой nc -zv IP 2222 с рабочего компьютера: если ответа нет, порт закрыт.

Оставьте 22 и в других случаях: у вас десятки серверов, а скрипты, задачи cron и настройки Ansible привязаны к этому номеру; вы не знаете, как открыть консоль VPS (виртуальный сервер) в панели хостинга при ошибке; вы заходите на сервер только через веб-консоль панели. Типичная ошибка: указать новый порт в /etc/ssh/sshd_config, но не открыть его в файрволе. Без запасного входа это закончится блокировкой, а выигрыш небольшой: смена порта лишь убирает шум от сканеров в логах и не заменяет защиту ключами. Для сравнения: перебор паролей по порту 22 ботами идёт круглосуточно, но при входе только по ключам такие попытки бесполезны.

Вместо смены порта защитите стандартный:

• отключите вход по паролю: PasswordAuthentication no;
• входите по SSH-ключам, например типа ed25519;
• установите fail2ban: он блокирует IP-адрес после 3–5 неудачных попыток;
• запретите вход под root: PermitRootLogin no.

Итог: если сомневаетесь, оставьте порт 22 и усильте защиту ключами и fail2ban. Менять порт стоит, когда у вас один сервер и есть доступ к консоли. Выбрать сервер с удобной панелью и консолью восстановления поможет рейтинг VPS-хостингов.