Como cambiar de puerto SSH en Fedora 23 y como operar su firewall

En Fedora 23 es posible cambiar el puerto SSH por defecto (el 22) a otro de tu elección que sea mayor al 1024, y que contrariamente luego puedas hasta colocar otro puerto para las conexiones externas.

Cuando vayas a cambiar el puerto SSH en Fedora 23 debemos tener en presentes tres principios

La configuración del demonio sshd que será asignado al puerto.
La configuración del firewall para que pueda enlazar con ese nuevo puerto.
Y configurar selinux (si está activo) para configurar la política de uso de ese puerto.

Pues bien, veamos entonces como se cambia el puerto en la configuración de SSH

Abrimos la terminal y en /etc/ssh/sshd_config y hacemos lo siguiente

Descomentamos port y asignamos otro número, también podemos poner varios Port <número

para que sshd escuche varios puertos>

Port <nuevo_número_puerto>

La creación de varios puertos puedes ser beneficiosa para realizar pruebas, dejamos el puerto 22 y el que creamos, así podemos asegurarnos que el nuevo puerto funciona y si no llegase a funcionar el nuevo puerto o no se configuro del todo bien, podemos volver a conectar el puerto 22.

Ahora para agregar el cambio a selinux

semanage port -a -t ssh_port_t -p tcp <nuevo_número_puerto>

Ahora vamos con el firewall

En Fedora 23 el firewall se administra con firewall-cmd.

Si necesitamos ver las zonas activadas:

firewall-cmd –list-all

Entonces nos regresaría algo parecido a esto:

FedoraServer (default, active) interfaces: <interfaz> sources: services: <nombre_servicio1> <nombre_servicio2> <nombre_servicio_etc…> ports: protocols: masquerade: forward-ports: icmp-blocks: rich rules:

Pero si lo que necesitamos es que nos indique cual es la zona por defecto, escribiremos esto:

firewall-cmd –get-default-zone FedoraServer

Luego de esto podemos agregar el nuevo puerto al firewall

Para añadir el puerto de tipo tcp a la zona del firewall escribiremos esta línea de comando:

firewall-cmd –permanent –zone=<nombre_zona> –add-port=<nuevo_número_puerto>/tcp

Debemos tener en cuenta que si lo que queremos es hacer una prueba temporal, omitiremos el –permanent, pero si esta temporal no se debería ver al cambio al consultar las reglas del firewall.