在 CentOS 系统中，SSH 连接默认会启用加密传输——这是许多运维人员熟知的基础知识。那么，SSH 究竟是如何实现数据加密的呢？其核心机制并不复杂：通过密钥交换算法（如 Diffie-Hellman），客户端与服务器先协商出一个临时的会话密钥，随后利用该密钥对整条通信通道进行加密。简单来说，当你通过 SSH 登录远程服务器的那一刻，所有传输的数据就已自动获得了保护，确保无法被窃听或篡改。
当然，默认的加密机制仅能防御被动窃听，若要真正抵御暴力破解、未授权登录等主动攻击，还需要进一步加固 CentOS 的 SSH 服务。以下是经过实践验证的几种常见且高效的防护策略：
配置高强度密码：为 SSH 用户账户设定足够复杂的密码，使暴力破解工具难以在合理时间内猜解成功，从而显著提升安全性。
启用密钥对认证：密码存在泄露风险，而 SSH 密钥对认证更为稳妥。将公钥放置到远程服务器的
~/.ssh/authorized_keys文件中，私钥由本地保管，登录时既无需输入密码，又具备更高安全等级。修改默认 SSH 端口：将默认的 22 端口改为非常用端口（如 2222），可有效规避针对标准端口的自动化扫描与攻击。
禁止 root 直接登录：禁止 root 用户通过 SSH 直接登录，强制管理员先使用普通用户登录后再切换至 root，从而降低攻击者获取最高权限的风险。
部署 Fail2Ban：该工具会持续监控登录失败日志，当同一 IP 多次尝试失败时，自动将其加入防火墙黑名单，阻断后续连接。
保持系统及软件更新：及时修补已知漏洞是防患于未然的关键。定期执行
yum update更新所有软件包，可大幅减少被利用的风险。
具体的操作步骤并不复杂，按照以下流程执行即可：
设置强密码：在终端执行
passwd命令，根据提示输入并确认新密码即可完成修改。使用密钥对认证：在本地主机运行
ssh-keygen生成一对密钥（默认采用 RSA 2048 位）。然后将公钥文件id_rsa.pub的内容追加到远程服务器目标用户的~/.ssh/authorized_keys文件中，保存后即可生效。更改默认 SSH 端口：编辑 SSH 配置文件
/etc/ssh/sshd_config，找到#Port 22这一行，取消注释并将数字改为你选定的端口（例如 2222）。保存后重启 SSH 服务：systemctl restart sshd。同时不要忘记在防火墙中放行新端口。禁用 root 登录：同样在
/etc/ssh/sshd_config中找到PermitRootLogin项，将其值修改为PermitRootLogin no。保存后重启 SSH 服务使改动生效。使用 Fail2Ban：先安装该工具：
yum install fail2ban。安装完成后，编辑配置文件（通常位于/etc/fail2ban/jail.conf或jail.local），启用针对 SSH 的保护规则。接着启动服务：systemctl start fail2ban，并设置开机自启：systemctl enable fail2ban。保持系统和软件更新：定期执行
yum update更新全部 packages，也可通过 cron 定时任务实现自动化更新，确保系统始终处于最新状态。
总而言之，CentOS SSH 安全加固并没有一劳永逸的银弹。但将上述几项措施组合实施，尤其是“密钥认证 + Fail2Ban + 非默认端口”这三大核心手段，足以抵御绝大多数常见的外部攻击，在实践中被证明极其有效。
