非标端口能解决什么
把 22 与 3389 换到非标端口，只降低自动化扫描与批量爆破的命中率，挡不住针对性的全端口扫描。它属于减少噪音的手段，真正的防线仍是来源限定与强认证。可用的组合是三件套：非标端口 + 来源网段白名单 + 密钥或 MFA。
基本信息
| 加固项 | 管理端口抗扫描 |
|---|---|
| 适用平台 | Linux 与 Windows |
| 组合策略 | 非标端口 + 来源限定 + 强认证 |
| 失效场景 | 全端口扫描、人工测绘 |
| 风险等级 | 低 |
典型使用场景
- 少量公网管理入口：减少日志噪音与被爆破的量
- 过渡期：尚未上堡垒机或 VPN 时，先用端口与来源双重收敛
- 多环境隔离：不同环境使用不同端口，便于识别流量来源
- 合规访谈：能说明管理面在端口与来源两个维度都做了收敛
- 排查便利：把管理流量与非管理流量在日志上区分开
Linux 与 Windows 示例
Linux 与 Windows 示例
# Linux：改 SSH 端口后同步防火墙
sed -i 's/^#\?Port .*/Port 22222/' /etc/ssh/sshd_config
sshd -t && systemctl reload sshd
firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=10.0.0.0/8 port port=22222 protocol=tcp accept'
firewall-cmd --reload
# Windows：改 RDP 端口并限定来源
# Set-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value 33389
# New-NetFirewallRule -DisplayName 'RDP-33389' -Direction Inbound -Action Allow -Protocol TCP -LocalPort 33389 -RemoteAddress 10.20.0.0/16三层措施的效果边界
| 措施 | 挡住什么 | 挡不住什么 |
|---|---|---|
| 非标端口 | 自动化扫描与常见字典爆破 | 全端口扫描与人工测绘 |
| 来源网段白名单 | 来自其他网段的直连尝试 | 白名单内主机的横向移动 |
| 密钥或 MFA | 口令爆破与猜测 | 终端上的凭据窃取与重放 |
RHEL 系开启 SELinux 时，改 SSH 端口还要把新端口标记为 ssh_port_t（semanage port -a -t ssh_port_t -p tcp 22222），否则 sshd 无法监听。
改端口的安全收益有限，不要因为换了端口就放松认证强度与来源限制，那是把门牌换了却把门打开。
改端口最容易出的事故是防火墙没同步：变更前保留一个已登录会话或带外通道作为回滚手段。
落地检查点
- 变更前确认防火墙、安全组与端口标签同步修改
- 梳理依赖默认端口的自动化与监控，逐一改到新端口
- 保留带外或本地通道，避免变更失败后失去入口
- 从白名单外的地址连接一次，确认来源限定真的生效