LinuxでSSHポートを変更する方法【デフォルト22番ポートからの移行手順】

はじめに：SSHポートを変更するメリット

インターネット経由でSSHを使ってサーバーやPCにアクセスしている方に、ぜひ試してほしいセキュリティ対策があります。それが、SSHのデフォルトポートである「22番」を別のポート番号に変更するという方法です。

ポートを変更しても不正アクセスを完全に防げるわけではありませんが、インターネット上には22番ポートを狙った自動スキャンや総当たり攻撃（ブルートフォース攻撃）が大量に行われているため、攻撃対象から外れるだけでログの肥大化や不正ログインのリスクを大幅に減らせます。

ここではUbuntuを例に、具体的な手順を解説します。注意：この作業はリモートのSSH接続中に行わないでください。設定ミスをするとサーバーとの接続が完全に失われる恐れがあります。必ずローカルコンソールや別の管理手段を確保した上で作業しましょう。

ステップ1：SSHサービスの稼働状況と使用ポートを確認する

まず、SSHサービスが起動しているか、またどのポートで待ち受けているかを確認します。次のコマンドを実行してください。

# netstat -tulpn

出力の中に「22番ポート」のエントリがあれば、それがSSHサービスです。

なお、近年のディストリビューションではnetstatが標準搭載されていない場合があります。その場合は、同等の情報を表示できる# ss -tulpnコマンドを使用するとよいでしょう。

ステップ2：SSHの設定ファイルを編集する

次に、SSHデーモンの設定ファイルを開きます。

# sudo vim /etc/ssh/sshd_config

ファイル内に「Port 22」という行があります（先頭に「#」が付いてコメントアウトされている場合もあります）。この「22」を任意のポート番号に変更します。ここでは例として「678」にします。

Port 678

編集後はファイルを保存して終了してください。vimの場合は「Esc」キーを押してから「:wq」と入力すれば保存して終了できます。

ポート番号は0〜65535の範囲で指定できますが、他のサービスが使用中のポートや、1024未満のウェルノウンポートとの重複は避けましょう。49152以上のポートや、一般的に使われていない1024〜65535の範囲を選ぶのが無難です。

ステップ3：SSHサービスを再起動する

設定を反映させるために、SSHサービスを再起動します。

# sudo /etc/init.d/ssh restart

systemdを採用している最近のUbuntuやDebianなどでは、次のコマンドでも同じ操作ができます。

# sudo systemctl restart ssh

ステップ4：再起動の確認とファイアウォール設定

再起動が正常に完了したことを確認します。エラーメッセージが表示されていないか、またssコマンドで新しいポートがLISTEN状態になっているかをチェックしておきましょう。

さらに重要なのがファイアウォールの設定です。UFWやfirewalldなどを運用している場合は、新しいSSHポートへの通信を許可する設定を必ず追加してください。許可を忘れると、再起動後にサーバーへ一切接続できなくなります。

# sudo ufw allow 678/tcp

ステップ5：新しいポートでSSH接続する

これまでサーバーには次のようなコマンドで接続していたはずです。

# ssh user@servername.com

SSHクライアントはデフォルトで22番ポートを使用するよう設定されているため、ポート指定は不要でした。しかしポートを変更した後は、接続時に明示的にポート番号を指定する必要があります。「-p」オプションを使って、次のように入力します。

# ssh -p 678 user@servername.com

毎回オプションを打つのが面倒な場合は、クライアント側の「~/.ssh/config」ファイルに以下のように記述しておくと便利です。

Host servername.com
    Port 678
    User user

まとめ

SSHポートの変更は、数分で完了する簡単な作業ながら、自動化された攻撃の大半を回避できる効果的な対策です。もちろん、これ単体で十分とは言えません。公開鍵認証の導入、パスワード認証の無効化、fail2banによる不正アクセス遮断などと組み合わせることで、Linuxサーバーのセキュリティはより強固になります。まずは今回の手順を実践して、基本的な防御の第一歩を踏み出してみてください。