Changer le port SSH sans se verrouiller

Changer le port SSH réduit le bruit des scanners automatisés, mais ne protège pas un serveur à lui seul. Le vrai risque est de vous couper l'accès en cours de route. La méthode sûre consiste à ouvrir le nouveau port avant de toucher à la configuration, puis à valider depuis une seconde session avant de fermer l'ancien.

Debian 13 inclut /etc/ssh/sshd_config.d/*.conf au début de sshd_config. Un fichier du fournisseur ou de cloud-init peut donc écraser une modification faite plus bas. Placez votre réglage dans un fichier dédié :

sudo sshd -T | grep -i '^port'

Cette commande affiche la valeur réellement appliquée, pas seulement celle que vous croyez avoir écrite. Le service s'appelle ssh sur Debian 13.

Ouvrir le nouveau port d'abord

Choisissez un port entre 1024 et 65535, par exemple 2222, et autorisez-le avant tout redémarrage.

Avec UFW :

sudo ufw allow 2222/tcp
sudo ufw status

Modifier et recharger

sudoedit /etc/ssh/sshd_config.d/10-port.conf

Contenu :

Port 2222

Validez la syntaxe, puis rechargez sans couper les sessions existantes :

sudo sshd -t
sudo systemctl reload ssh
sudo ss -tlnp | grep 2222

reload relit la configuration et laisse les connexions en cours ouvertes. Gardez votre première session active : c'est votre filet de sécurité.

Tester dans une seconde session

ssh -p 2222 utilisateur@VOTRE_IPV6

Ne fermez la première session qu'après cette réussite. Testez aussi le compte administrateur et, si vous l'utilisez, l'authentification par clé. Ensuite seulement, retirez l'ancienne règle :

sudo ufw delete allow 22/tcp

Vérifiez que sudo sshd -T | grep -i '^port' ne renvoie plus que 2222 : une ligne Port 22 résiduelle peut venir d'un autre fichier de sshd_config.d/.

Si vous perdez l'accès

Ouvrez la console noVNC depuis le dashboard, connectez-vous avec le compte root, puis annulez le fichier de port et rechargez le service. Consultez journalctl -u ssh -n 50 et ufw status : la cause est presque toujours un pare-feu non ouvert ou une faute de syntaxe.

Vérifier

sudo sshd -T | grep -i '^port'
sudo ss -tlnp | grep -E ':22|:2222'
sudo journalctl -u ssh --since "10 min ago"

Le nouveau port doit écouter, l'ancien ne doit plus répondre, et la connexion doit fonctionner avec une clé comme avec un mot de passe si vous les autorisez encore. Adaptez la prison Fail2ban si vous l'avez configurée avec un port explicite.