Как усилить sshd

База — ключи. Ниже — типичный harden, который не ломает вход, если делать по порядку.

Порядок, который не запирает

1. Ключ уже пускает во втором терминале.
2. Пользователь с sudo создан.
3. Новый порт (если нужен) открыт в UFW.
4. Правки sshd_config, sshd -t, reload.
5. Вход на новом порту проверен — только потом закрываете 22.

Пользователь без ежедневного root

adduser deploy
usermod -aG sudo deploy
rsync -a /root/.ssh/ /home/deploy/.ssh/
chown -R deploy:deploy /home/deploy/.ssh

В sshd:

PermitRootLogin prohibit-password
PasswordAuthentication no
PubkeyAuthentication yes
MaxAuthTries 3

PermitRootLogin no — ещё жёстче: root только из консоли. Удобно, если ключ deploy уже проверен.

Смена порта

Сама по себе почти не прячет сервер от сканеров, но срезает шум в логах. Пример 2222:

Port 2222

ufw allow 2222/tcp
systemctl reload ssh
ssh -p 2222 deploy@IPv4

Jail в fail2ban должен слушать тот же порт. Иначе бан не сработает.

Не ставьте порт 80/443: его займёт Nginx. Не используйте порт из диапазона, который уже слушает игра.

Запасной вход всегда есть: KVM.