Ngubah port SSH di Debian bisa mengurangi percobaan brute-force di port default 22 buat keamanan tambahan lah. Hati-hati bang, salah-salah bisa kekunci server lu awokwok. Disini w testing (ga testing sih, langsung di prod kok awokwok) nya make Debian 12, tapi alurnya masih sama lah untuk versi Debian lain atau distro turunan kek Ubuntu.

1) Cek konfigurasi SSH saat ini

sudo ss -tulpn | grep ssh

atau:

sudo grep -E '^(#)?Port' /etc/ssh/sshd_config

2) Ubah port SSH

Edit file konfigurasi:

sudo nano /etc/ssh/sshd_config

Cari baris:

#Port 22

Ubah menjadi, eee contoh:

Port 2222 # Ganti 2222 dengan port yang diinginkan

Gunakan port di atas 1024 dan hindari port umum lain atau gampang ketebak.

3) Pastikan konfigurasi valid

sudo sshd -t

Kalo gada output, konfigurasi valid.

4) Buka port baru di firewall

Kalo make UFW:

sudo ufw allow 2222/tcp
sudo ufw status

Kalo make iptables (contoh sederhana)

sudo iptables -A INPUT -p tcp --dport 2222 -j ACCEPT

5) Restart layanan SSH

Pada Debian modern biasanya:

sudo systemctl restart ssh
sudo systemctl status ssh --no-pager

6) Uji koneksi di terminal baru

Jangan tutup sesi lama. Uji dulu (takutnya salah konfigurasi awokwok):

ssh -p 2222 username@ip-server

Jika berhasil login, perubahan aman.

7) (Opsional) Tutup port lama 22

Setelah port baru dipastikan berjalan:

UFW

sudo ufw delete allow 22/tcp

iptables

Atur rule agar port 22 tidak lagi dibuka.

Hardening tambahan (disarankan)

Edit /etc/ssh/sshd_config:

PermitRootLogin no # Nonaktifkan login root langsung, sebaiknya jangan gegabah
PasswordAuthentication no # Nonaktifkan login password, pakai SSH key saja, sebaiknya jangan gegabah
PubkeyAuthentication yes # Pastikan SSH key diizinkan

Lalu reload/restart SSH:

sudo systemctl restart ssh

Pastikan kunci SSH sudah terpasang sebelum menonaktifkan password login.

Troubleshooting

• Koneksi timeout: port baru belum dibuka di firewall/security group.
• Connection refused: service ssh tidak aktif atau port belum diterapkan.
• Salah konfigurasi: cek dengan sudo sshd -t dan log:

  sudo journalctl -u ssh -n 100 --no-pager

Rollback darurat

Jika gagal login lewat port baru, akses console VPS/lokal lalu kembalikan:

Port 22

Restart service:

sudo systemctl restart ssh

Dengan langkah di atas, port SSH di Debian dapat diganti dengan aman dan lebih rapi dari sisi keamanan dasar.

(Opsional) Aktifkan Fail2ban untuk SSH

Tambahkan Fail2ban untuk memblokir IP yang mencoba login berulang kali (brute-force) ke SSH.

Install paket:

sudo apt update
sudo apt install fail2ban -y

Buat konfigurasi lokal agar tidak mengubah file bawaan:

sudo nano /etc/fail2ban/jail.local

Isi minimal (sesuaikan port SSH baru):

[sshd]
enabled  = true
port     = 2222
logpath  = %(sshd_log)s
backend  = systemd
maxretry = 5
findtime = 10m
bantime  = 1h

Aktifkan dan jalankan service:

sudo systemctl enable fail2ban
sudo systemctl restart fail2ban
sudo systemctl status fail2ban --no-pager

Cek status jail SSH:

sudo fail2ban-client status
sudo fail2ban-client status sshd

Alur Fail2ban: Kalo ada IP yang gagal login lebih dari maxretry dalam findtime, IP itu bakal diblokir selama bantime. Jadi, ini nambah lapisan keamanan buat SSH lu.

Gitulah pokoknya, inii catetan w, jadi kalimatnya diasikin sendiri aja awokwok