Đổi cổng Remote Desktop (3389) và SSH (22) để giảm tấn công dò mật khẩu

Ngay khi VPS có IP công khai, các bot trên Internet sẽ liên tục dò mật khẩu ở cổng mặc định 3389 (Remote Desktop) và 22 (SSH). Đổi cổng mặc định không thay thế được mật khẩu mạnh, nhưng giúp giảm phần lớn lượt dò tự động, nhật ký sạch hơn và hạn chế tình trạng tài khoản bị khóa.

Nguyên tắc an toàn trước khi đổi cổng

• Chọn cổng trong khoảng 1024–65535 và chưa được dịch vụ khác dùng, ví dụ 3390 hoặc 2222.
• Mở cổng mới trên tường lửa trước, rồi mới đổi cổng dịch vụ.
• Giữ phiên đang kết nối, mở phiên mới để thử; chỉ đóng phiên cũ khi đã vào được bằng cổng mới.
• Ghi nhớ cổng mới – nếu quên, bạn vẫn có thể vào bằng VNC console để kiểm tra.

Đổi cổng Remote Desktop trên VPS Windows

Mở PowerShell bằng quyền quản trị và chạy lần lượt (thay 3390 bằng cổng bạn chọn):

New-NetFirewallRule -DisplayName "RDP 3390" -Direction Inbound -Protocol TCP -LocalPort 3390 -Action Allow
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name PortNumber -Value 3390
Restart-Service TermService -Force

Phiên hiện tại sẽ bị ngắt. Kết nối lại bằng cách nhập 203.0.113.10:3390 vào ô Computer của Remote Desktop.

Đổi cổng SSH trên Ubuntu, Debian

ufw allow 2222/tcp
nano /etc/ssh/sshd_config

Tìm dòng #Port 22, sửa thành Port 2222, lưu lại rồi chạy:

sshd -t
systemctl daemon-reload
systemctl restart ssh.socket 2>/dev/null; systemctl restart ssh

Ubuntu 22.10 trở lên dùng cơ chế ssh.socket nên cần daemon-reload để nhận cổng mới. Nếu chưa bật ufw, bỏ qua lệnh ufw allow.

Đổi cổng SSH trên AlmaLinux, Rocky Linux

Các bản này bật SELinux và firewalld nên cần khai báo thêm cổng mới:

dnf install -y policycoreutils-python-utils
semanage port -a -t ssh_port_t -p tcp 2222
firewall-cmd --permanent --add-port=2222/tcp
firewall-cmd --reload

Sửa Port 2222 trong /etc/ssh/sshd_config, sau đó:

sshd -t
systemctl restart sshd

Kết nối bằng cổng mới

ssh -p 2222 root@203.0.113.10
# hoặc dùng SFTP/WinSCP/FileZilla với cổng 2222

Bảo vệ thêm một bước

• Chỉ cho phép IP văn phòng của bạn kết nối tới cổng quản trị trong tường lửa.
• Cài fail2ban trên Linux để tự chặn IP dò mật khẩu.
• Dùng SSH key và mật khẩu mạnh – đổi cổng chỉ là lớp bảo vệ bổ sung.

Nếu sau khi đổi cổng không vào được VPS, xem các lỗi SSH thường gặp hoặc lỗi đăng nhập Remote Desktop.

Câu hỏi thường gặp

Đổi cổng rồi không vào được VPS thì làm sao?

Dùng VNC console trong trang quản lý dịch vụ để đăng nhập trực tiếp, kiểm tra tường lửa đã mở cổng mới và dịch vụ đang lắng nghe đúng cổng.

Đổi cổng có làm VPS an toàn tuyệt đối không?

Không. Đổi cổng chỉ giảm lượt dò tự động. Bạn vẫn cần mật khẩu mạnh, SSH key và cập nhật hệ điều hành thường xuyên.

Nên chọn cổng nào?

Bất kỳ cổng nào từ 1024 đến 65535 chưa được dùng, tránh các cổng phổ biến như 8080, 8443, 3306.