密钥登录#

1
ssh-keygen -t ed25519
2
ssh-copy-id root@服务器

确认密钥能登之后，/etc/ssh/sshd_config 里改两处：PasswordAuthentication no、PermitRootLogin prohibit-password。

CAUTION

改完别断当前会话，开个新终端验证能登再退出，否则容易被自己锁在门外。

fail2ban#

默认的 sshd jail 就够用，maxretry 调到 3，bantime 拉长到一天。装完看下 fail2ban-client status sshd，当天就能看到 ban 列表在涨。

换端口值不值#

改个非标准端口能挡掉九成无脑扫描，日志清净很多，但安全性上是防君子不防小人——真定向扫描你照样暴露。我的结论是：改，主要为了日志干净，不是当安全手段。