CentOS7.9修改SSH端口后无法连接，防火墙和SELinux配置是否需要调整？

Question

在CentOS 7.9中修改SSH端口后无法连接，防火墙和SELinux配置是否需要调整？这是一个常见问题。当您将SSH默认端口（22）更改为自定义端口时，必须确保防火墙允许新端口的流量。使用`firewall-cmd --add-port=新端口/tcp --permanent`命令，并执行`firewall-cmd --reload`以应用更改。 此外，SELinux也可能阻止SSH服务在非标准端口上运行。为解决此问题，需创建SELinux布尔值或端口上下文。通过运行`semanage port -a -t ssh_port_t -p tcp 新端口`添加端口到SELinux策略。如果`semanage`未安装，可通过`yum install policycoreutils-python-utils`安装。 最后，确保在`/etc/ssh/sshd_config`中正确设置了新端口，并重启SSH服务（`systemctl restart sshd`）。验证配置文件语法是否正确（`sshd -t`），以避免连接失败。这些步骤可有效解决因防火墙和SELinux导致的连接问题。

Answer 1

1. 问题概述

在CentOS 7.9中，修改SSH端口后无法连接是一个常见的技术问题。这通常涉及防火墙和SELinux配置的调整。默认情况下，SSH服务运行在22端口上，当您将其更改为自定义端口时，需要确保防火墙允许新端口的流量，并且SELinux不会阻止该端口上的SSH服务。

以下是解决此问题的基本步骤：

• 调整防火墙规则以允许新端口的流量。
• 配置SELinux以支持非标准端口上的SSH服务。
• 更新SSH配置文件并验证其语法正确性。

2. 防火墙配置调整

CentOS 7.9使用firewalld作为默认防火墙管理工具。要允许新的SSH端口（例如30022），可以执行以下命令：

firewall-cmd --add-port=30022/tcp --permanent
firewall-cmd --reload
    

上述命令将永久性地添加TCP端口30022到防火墙规则中，并重新加载firewalld以应用更改。

3. SELinux配置调整

SELinux可能阻止SSH服务在非标准端口上运行。为了解决这个问题，需要将新端口添加到SELinux策略中。具体步骤如下：

1. 安装`policycoreutils-python-utils`包（如果尚未安装）：

yum install policycoreutils-python-utils -y
    

然后，使用`semanage`命令将新端口添加到SELinux策略中：

semanage port -a -t ssh_port_t -p tcp 30022
    

如果端口已经存在，则会提示错误。此时可使用`-m`选项进行修改：

semanage port -m -t ssh_port_t -p tcp 30022
    

4. SSH配置文件调整

编辑`/etc/ssh/sshd_config`文件，找到`Port`参数并设置为新的端口号（例如30022）。如果文件中没有`Port`参数，请手动添加：

Port 30022
    

保存文件后，重启SSH服务以使更改生效：

systemctl restart sshd
    

为了确保配置文件语法正确，可以运行以下命令进行测试：

sshd -t
    

5. 流程图说明

以下是解决问题的整体流程图：

graph TD;
            A[开始] --> B{修改SSH端口};
            B -->|是| C[编辑sshd_config];
            C --> D[检查语法(sshd -t)];
            D --> E{语法正确?};
            E -->|否| F[修复配置];
            E -->|是| G[重启SSH服务];
            G --> H{SELinux启用?};
            H -->|是| I[配置SELinux(semanage)];
            I --> J[调整防火墙(firewall-cmd)];
            J --> K[完成];
            H -->|否| J;