Cómo cambiar el puerto SSH en Linux

¿Sabías que cambiar el puerto SSH por defecto (el 22) es una de las medidas de seguridad más sencillas y efectivas que puedes aplicar en tu servidor Linux? No te preocupes, no necesitas ser un experto en sistemas. En esta guía te explico paso a paso cómo hacerlo, por qué es importante y qué precauciones tomar para no quedarte fuera de tu propio servidor. Vamos a ello.

¿Por qué cambiar el puerto SSH? Seguridad ante todo

El puerto 22 es el estándar mundial para SSH. Esto lo convierte en el primer objetivo de bots y scripts automatizados que escanean internet en busca de servidores vulnerables. Miles de intentos de acceso no autorizados ocurren cada minuto en ese puerto.

Al cambiar puerto SSH a un número menos común, reduces drásticamente el ruido de esos ataques automatizados. No es una solución mágica (si alguien te tiene en la mira, te encontrará igual), pero sí elimina el 99% de los intentos genéricos. Es como poner una puerta trasera en lugar de la puerta principal: los robots pasan de largo.

Además, combinado con otras prácticas como la autenticación por clave pública o fail2ban, tu SSH security mejora notablemente. Piensa en esto como el primer escalón de una escalera de seguridad.

Requisitos previos: lo que necesitas saber antes de empezar

Antes de meter mano, asegúrate de tener lo siguiente:

• Acceso root o sudo al servidor Linux.
• Conexión SSH actual activa (no cierres la sesión hasta verificar que todo funciona).
• Un puerto libre que no esté siendo usado por otro servicio (por ejemplo, el 2222, 22222 o 10022). Evita puertos por debajo del 1024 porque requieren privilegios especiales.
• Firewall configurado para permitir el nuevo puerto (lo veremos más adelante).

[WARNING] No cierres tu sesión SSH actual hasta que hayas probado que puedes conectarte por el nuevo puerto. Si algo sale mal, podrías quedarte fuera del servidor.

Paso 1: Elegir un número de puerto seguro

Elige un número entre 1024 y 65535. Algunas recomendaciones populares:

• 2222
• 22222
• 10022
• 2200
• 9922

Evita puertos conocidos como 80 (HTTP), 443 (HTTPS), 21 (FTP) o 3306 (MySQL). También es buena idea no usar puertos muy comunes como 8080 o 8443.

[TIP] Si usas Syspanel (antes conocido como HestiaCP), recuerda que su panel de administración accede por el puerto 2106. No uses ese número para SSH porque entrarías en conflicto.

Paso 2: Editar el archivo de configuración de SSH

El archivo clave es /etc/ssh/sshd_config. Vamos a modificarlo.

1. Conéctate a tu servidor por SSH con tu usuario habitual.
2. Abre el archivo con un editor de texto. Usaremos nano por su sencillez:

sudo nano /etc/ssh/sshd_config

3. Busca la línea que dice #Port 22 (puede estar comentada con una almohadilla). Si no aparece, puedes añadirla al final del archivo.
4. Cambia o añade la línea con el nuevo puerto. Por ejemplo, para el puerto 2222:

Port 2222

5. Guarda los cambios: en nano, pulsa Ctrl+O, luego Enter, y después Ctrl+X para salir.

[INFO] Si ves varias líneas Port, solo debe quedar una activa (sin comentar). Si hay más de una, SSH escuchará en todos esos puertos, lo cual no es recomendable para seguridad.

Paso 3: Configurar el firewall para permitir el nuevo puerto

Ahora toca abrir el nuevo puerto en el firewall. Dependiendo de tu sistema, los comandos varían. Te doy las opciones más comunes.

Si usas UFW (Ubuntu/Debian)

sudo ufw allow 2222/tcp
sudo ufw reload

Si usas firewalld (CentOS/RHEL/Fedora)

sudo firewall-cmd --permanent --add-port=2222/tcp
sudo firewall-cmd --reload

Si usas iptables directamente

sudo iptables -A INPUT -p tcp --dport 2222 -j ACCEPT
sudo service iptables save

[WARNING] No olvides también permitir el puerto 22 si aún no lo has cerrado. Lo mantendremos abierto hasta que verifiques la conexión por el nuevo puerto.

Paso 4: Reiniciar el servicio SSH

Con el archivo configurado y el firewall listo, toca reiniciar SSH para que aplique los cambios.

sudo systemctl restart sshd

O en sistemas más antiguos:

sudo service ssh restart

Verifica que el servicio esté activo:

sudo systemctl status sshd

Deberías ver algo como active (running).

Paso 5: Probar la conexión por el nuevo puerto

Aquí viene el momento crucial. No cierres tu sesión actual. Abre otra terminal o ventana de comandos e intenta conectarte especificando el nuevo puerto.

Desde Linux/Mac

ssh usuario@tuservidor.com -p 2222

Desde Windows (con PuTTY)

En el campo "Port", escribe 2222 (o el que hayas elegido) en lugar de 22.

Si la conexión es exitosa, ¡enhorabuena! Ya has cambiado el puerto SSH.

[TIP] Si usas Syspanel, recuerda que su acceso es por el puerto 2106. No lo confundas con tu nuevo puerto SSH.

Paso 6: Deshabilitar el puerto 22 (opcional pero recomendado)

Una vez confirmado que funcionas por el nuevo puerto, puedes cerrar el 22 para mayor seguridad.

1. Vuelve a editar /etc/ssh/sshd_config y elimina o comenta cualquier línea que diga Port 22.

2. Guarda y reinicia SSH: sudo systemctl restart sshd.

3. En el firewall, elimina la regla del puerto 22:

   • UFW: sudo ufw delete allow 22/tcp
   • firewalld: sudo firewall-cmd --permanent --remove-port=22/tcp && sudo firewall-cmd --reload
   • iptables: sudo iptables -D INPUT -p tcp --dport 22 -j ACCEPT

[WARNING] Asegúrate de tener al menos dos sesiones SSH abiertas por el nuevo puerto antes de cerrar el 22. Si te equivocas, podrías perder el acceso remoto.

Posibles problemas y cómo solucionarlos

No puedo conectarme al nuevo puerto

• Verifica que el firewall tenga abierto el puerto correcto.
• Comprueba que el puerto no esté siendo usado por otro servicio: sudo netstat -tulpn | grep :2222.
• Revisa que el archivo sshd_config no tenga errores de sintaxis: sudo sshd -t. Si muestra algún error, corrígelo antes de reiniciar.

El servicio SSH no se reinicia

• Usa sudo journalctl -xe para ver el log de errores.
• Asegúrate de que el puerto elegido no esté en conflicto con otro servicio.

Me quedé fuera del servidor

• Si tienes acceso físico o por consola (KVM), puedes conectarte localmente y revertir los cambios.
• Algunos proveedores de hosting ofrecen un panel de control con acceso por consola web. Úsalo para editar el archivo de configuración.
• Si no tienes acceso, contacta al soporte técnico de tu proveedor.

Preguntas frecuentes (FAQ)

¿Es obligatorio cambiar el puerto SSH?

No, pero es una recomendación de seguridad básica. Si tienes un servidor expuesto a internet, hacerlo reduce significativamente los ataques automatizados.

¿Puedo usar un puerto por debajo de 1024?

Técnicamente sí, pero necesitarías ejecutar SSH como root o usar capacidades especiales. No lo recomiendo por seguridad y complejidad.

¿Afecta esto a otros servicios como SFTP o SCP?

No. SFTP y SCP usan el mismo puerto SSH. Al cambiarlo, también cambias el puerto para esos servicios. Solo recuerda especificar el nuevo puerto en tus clientes.

¿Cómo cambio el puerto en Syspanel (HestiaCP)?

Syspanel no modifica el puerto SSH por defecto. Si usas el panel, sigue los pasos de esta guía. Recuerda que el panel accede por el puerto 2106, no por SSH.

¿Puedo tener SSH escuchando en varios puertos?

Sí, añadiendo varias líneas Port en el archivo de configuración. Pero desde el punto de vista de seguridad, es mejor tener solo uno.

Conclusión: un pequeño cambio, gran impacto en seguridad

Cambiar puerto SSH es una tarea sencilla que cualquier administrador de sistemas debería realizar al configurar un servidor Linux. No solo reduces el ruido de ataques automatizados, sino que también ganas tranquilidad. Recuerda siempre probar la nueva conexión antes de cerrar la antigua, y combínalo con otras medidas como claves SSH, fail2ban y actualizaciones periódicas.

Si has seguido esta guía, ya tienes un servidor un poco más seguro. ¡Buen trabajo!

[INFO] Para más consejos sobre SSH security y administración de servidores, no dudes en explorar nuestros otros artículos. Y recuerda: en Syspanel, el puerto de acceso es el 2106, no el SSH.