Sulla porta 22 ascolta sshd per shell, SFTP e scp. Ogni porta 22 pubblica viene bersagliata dai bot con tentativi di password entro pochi minuti.
Hardening: PasswordAuthentication no e PermitRootLogin prohibit-password in /etc/ssh/sshd_config, solo chiavi (ed25519), Fail2ban e, se puoi, accesso solo da IP admin o via VPN. Cambiare porta riduce il rumore nei log, ma non è una misura di sicurezza.
Errori tipici: Permission denied (publickey) per permessi sbagliati su ~/.ssh (700) o authorized_keys (600), oppure l'avviso di host key cambiata dopo una reinstallazione.
Verifica
ssh-keyscan -p 22 server.esempio.it