Entenda como mudar a porta SSH no Debian 12 com segurança

12 min de leitura  ·  Guia técnico

Mudar a porta SSH no Debian 12 é uma prática que reduz o ruído de ataques automatizados e aumenta a camada de segurança do seu servidor. Para alterar a porta com segurança, siga estes passos:

1. Escolha uma porta livre entre 1024 e 65535
2. Libere a nova porta no firewall (UFW ou nftables)
3. Edite o arquivo /etc/ssh/sshd_config
4. Ajuste o ssh.socket do systemd se aplicável
5. Reinicie o serviço sshd sem encerrar a sessão atual
6. Valide a conexão pela nova porta em uma segunda sessão

Pré-requisitos para alterar a porta SSH no Debian 12

• Servidor rodando Debian 12 Bookworm com acesso root ou usuário com sudo
• OpenSSH Server instalado (pacote openssh-server)
• Firewall ativo conhecido: UFW, nftables ou iptables
• Acesso ao console VNC/KVM do provedor como plano B (recomendado)
• Uma sessão SSH aberta e estável durante todo o procedimento
• Editor de texto à escolha: nano, vim ou vi

Atenção: qualquer erro de digitação em sshd_config ou no firewall pode causar perda de acesso remoto. Execute este procedimento fora de horários críticos e mantenha o console do provedor acessível antes de começar.

Por que alterar a porta 22 padrão no servidor Debian 12

A porta 22 é o alvo mais frequente de varreduras automatizadas na internet. Basta expor um servidor publicamente por algumas horas para observar milhares de tentativas de brute force nos logs do auth.log. Mover o daemon sshd para uma porta alternativa não é uma solução definitiva, mas remove o servidor da maior parte desse ruído.

Essa técnica se enquadra no conceito de security through obscurity e precisa ser combinada com autenticação por chave pública, desativação do login de root direto e uso de ferramentas como Fail2Ban. Em produção, também vale revisar o guia de otimização de servidores Linux para alinhar performance e segurança.

Benefícios práticos observados após mudar a porta padrão:

• Redução significativa de tentativas automatizadas nos logs
• Logs mais limpos, facilitando detecção de ataques reais direcionados
• Menor consumo de CPU causado por processos auxiliares respondendo a conexões indesejadas
• Fail2Ban com menos trabalho de banimento, preservando tabela de firewall

Como escolher uma porta segura para o serviço sshd

A escolha da nova porta exige planejamento. Use valores dentro do intervalo de portas não privilegiadas registradas ou dinâmicas (1024 a 65535) e evite portas usadas por outros serviços comuns. Antes de definir, verifique o que já está em escuta no servidor:

ss -tlnp

Output esperado:
State    Recv-Q   Send-Q   Local Address:Port    Peer Address:Port
LISTEN   0        128      0.0.0.0:22            0.0.0.0:*
LISTEN   0        128      0.0.0.0:80            0.0.0.0:*
LISTEN   0        70       127.0.0.1:3306        0.0.0.0:*

Boas práticas para a seleção da porta:

• Evite 2222 (porta comum de scan secundário)
• Fuja de portas conhecidas: 80, 443, 3306, 5432, 6379, 8080, 8443, 9090
• Prefira valores altos como 49222, 52200 ou 58322
• Confirme no arquivo /etc/services se a porta já tem uso padronizado
• Documente a nova porta em sua documentação interna de infraestrutura

Liberando a nova porta no firewall antes de tudo

Este é o passo mais importante para não perder acesso. Sempre libere a nova porta ANTES de alterar a configuração do sshd. Assim, mesmo que algo dê errado, a porta 22 continua funcional durante o processo.

Se você usa UFW no Debian 12

sudo ufw allow 52200/tcp comment 'SSH nova porta'
sudo ufw status numbered

Output esperado:
Status: active

     To                         Action      From
     --                         ------      ----
[ 1] 22/tcp                     ALLOW IN    Anywhere
[ 2] 52200/tcp                  ALLOW IN    Anywhere

Se você usa nftables diretamente

sudo nft add rule inet filter input tcp dport 52200 accept
sudo nft list ruleset | grep 52200

Após validar que a nova porta aceita conexões, prossiga para a edição do sshd. A remoção da porta 22 antiga será feita apenas no final, após confirmar que tudo funciona.

Editando o arquivo sshd_config no Debian 12

O arquivo principal de configuração do daemon fica em /etc/ssh/sshd_config. Antes de modificá-lo, faça um backup:

sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak.$(date +%F)
sudo nano /etc/ssh/sshd_config

Localize a linha #Port 22. Você tem duas estratégias:

1. Estratégia segura (recomendada): adicionar a nova porta mantendo a 22 ativa temporariamente.
2. Estratégia direta: trocar imediatamente a porta 22 pela nova (apenas se você tem console VNC confiável).

Para a estratégia segura, deixe o bloco assim:

Port 22
Port 52200

Aproveite para reforçar outras diretivas de segurança no mesmo arquivo:

PermitRootLogin prohibit-password
PasswordAuthentication no
PubkeyAuthentication yes
MaxAuthTries 3
LoginGraceTime 30

Salve o arquivo e valide a sintaxe antes de reiniciar o serviço:

sudo sshd -t

Se não houver saída, a sintaxe está correta. Qualquer mensagem de erro deve ser corrigida antes de prosseguir.

Lidando com o socket activation do systemd no Debian 12

O Debian 12 pode utilizar socket activation do systemd para o SSH em algumas imagens mínimas e cloud. Nesse modelo, a porta é definida no arquivo ssh.socket e não só em sshd_config. Verifique se o socket está ativo:

sudo systemctl status ssh.socket

Se o status mostrar active (listening), você precisa editar também o socket. Crie um override:

sudo systemctl edit ssh.socket

Adicione o conteúdo:

[Socket]
ListenStream=
ListenStream=52200

A primeira linha vazia limpa a porta padrão herdada; a segunda define a nova. Em seguida, aplique:

sudo systemctl daemon-reload
sudo systemctl restart ssh.socket
sudo systemctl restart ssh

Se seu Debian 12 não usa socket activation (padrão mais comum em VPS convencionais), basta reiniciar o serviço:

sudo systemctl restart ssh

Validação e testes da nova porta SSH

Mantenha a sessão atual aberta. Em um segundo terminal (ou em outra máquina), teste a nova porta:

ssh -p 52200 seu_usuario@ip_do_servidor -v

A flag -v mostra o handshake em detalhes. No servidor, confirme que o sshd está escutando:

ss -tlnp | grep sshd

Output esperado:
LISTEN 0 128 0.0.0.0:52200 0.0.0.0:* users:(("sshd",pid=1423,fd=3))
LISTEN 0 128 0.0.0.0:22    0.0.0.0:* users:(("sshd",pid=1423,fd=4))

Externamente, um teste rápido com nmap também é útil:

nmap -Pn -p 22,52200 ip_do_servidor

Confirmado que a nova porta funciona e você consegue autenticar por ela, remova a porta 22 do sshd_config, recarregue o serviço e revogue a regra antiga no firewall:

sudo ufw delete allow 22/tcp
sudo systemctl restart ssh

Boas práticas adicionais para proteger o acesso SSH

Trocar a porta é apenas uma camada. Para uma postura robusta, combine:

• Autenticação por chave pública com ED25519 ou RSA 4096 bits
• Fail2Ban monitorando a nova porta — ajuste o jail sshd com o parâmetro port = 52200
• Restrição por IP no firewall quando sua origem for fixa
• Desativação do login de senha após testar o acesso por chave
• Auditoria periódica de /var/log/auth.log com ferramentas como Logwatch
• Atualizações regulares do pacote openssh-server via apt

Problemas comuns e como resolver

Sintoma: conexão recusada (Connection refused) na nova porta

Causa: o serviço sshd não está escutando na porta configurada, geralmente porque o ssh.socket ainda detém a porta antiga ou o arquivo de configuração tem erro de sintaxe.
Solução: rode sudo sshd -t para validar sintaxe, verifique ss -tlnp | grep sshd e, se usar socket activation, reedite o override de ssh.socket com systemctl edit ssh.socket.

Sintoma: timeout ao conectar na nova porta

Causa: firewall do sistema (UFW, nftables) ou firewall externo do provedor bloqueando a nova porta.
Solução: confirme sudo ufw status e libere a porta. Verifique também o painel do provedor (grupos de segurança, firewall de rede) para garantir que a porta 52200 está aberta publicamente em TCP.

Sintoma: SELinux/AppArmor bloqueia a nova porta

Causa: em sistemas com AppArmor ativo, perfis podem restringir o sshd a portas específicas. No Debian 12, isso é raro, mas pode ocorrer em imagens endurecidas.
Solução: verifique sudo aa-status. Se houver perfil para sshd, ajuste-o ou coloque em modo complain temporariamente para diagnóstico.

Sintoma: Fail2Ban continua monitorando apenas a porta 22

Causa: configuração padrão do jail sshd referencia a porta ssh do /etc/services (que é 22).
Solução: edite /etc/fail2ban/jail.local, defina port = 52200 no bloco [sshd] e reinicie com sudo systemctl restart fail2ban. Valide com sudo fail2ban-client status sshd.

Perguntas frequentes sobre mudar a porta SSH no Debian 12

É seguro mudar a porta do SSH para reduzir ataques?

Alterar a porta padrão reduz drasticamente o volume de tentativas automatizadas de brute force, pois bots varrem majoritariamente a porta 22. Porém, isso é segurança por obscuridade e deve ser combinado com autenticação por chave pública, Fail2Ban e firewall restritivo para ter efeito real.

Qual porta escolher ao mudar o SSH?

Escolha uma porta alta não reservada, entre 1024 e 65535, preferencialmente fora das portas conhecidas de outros serviços (como 3306, 5432, 8080). Valores como 2222, 22022 ou 52200 são comuns, mas evite padrões óbvios e verifique se nenhuma aplicação sua já usa a porta escolhida.

Como evitar ser bloqueado do servidor ao alterar a porta SSH?

Sempre libere a nova porta no firewall ANTES de reiniciar o serviço SSH e mantenha uma sessão SSH ativa durante os testes. Abra uma segunda conexão pela nova porta para validar antes de encerrar a primeira. Se tiver acesso ao console VNC ou KVM do provedor, mantenha-o disponível como fallback.

Preciso reiniciar o servidor após mudar a porta SSH?

Não é necessário reiniciar o servidor. Basta recarregar ou reiniciar o serviço sshd com systemctl restart ssh. O Debian 12 usa systemd socket activation em algumas configurações, por isso pode ser necessário também reiniciar ssh.socket para aplicar a mudança corretamente.

Como verificar se a nova porta SSH está funcionando?

Use o comando ss -tlnp | grep sshd no próprio servidor para confirmar que o daemon está escutando na porta nova. Externamente, teste com ssh -p NOVA_PORTA usuario@ip ou use nmap -p NOVA_PORTA ip a partir de outra máquina. Se a conexão for recusada, verifique firewall e configuração do sshd.

Conclusão

• Libere a nova porta no firewall antes de qualquer alteração no sshd para evitar ficar sem acesso
• Combine a troca de porta com autenticação por chave, Fail2Ban e desativação do login por senha para segurança real
• Valide sempre com sshd -t, ss -tlnp e uma segunda sessão ativa antes de remover a porta 22

Leia também

• Passo a passo para configurar acesso restrito por IP no SSH do VPS Linux
• Guia para configurar acesso SSH apenas para IPs específicos no Ubuntu 22.04
• Checklist de Segurança para Servidor Linux em Produção 2026

Precisa de ajuda com segurança SSH no Debian 12?

Nossa infraestrutura de VPS Linux entrega acesso root completo, console de recuperação e ambiente ideal para aplicar endurecimento de SSH e outras políticas de segurança personalizadas no seu servidor.

Conheça os planos de VPS Linux da AviraHost