SSH на WAN интерфейсе
-
Правильный файрвол слушает ссш только на LAN по умолчанию. Здесь тако-же.
Для доступа к ССШ на WAN нужно- разрешить доступ на 22 порт WAN из инета
- разрешить доступ на 22 порт LAN с интерфейса WAN
- пробросить 22 порт мапингом с WAN на LAN.
-
Да вобщем-то и так тоже пробовал… не :(работает шел
Получились такие правила:
WAN:
Proto Source Port Destination Port Gateway Schedule Description
TCP * * WAN address 443 (HTTPS) *
TCP * * WAN address 22 (SSH) *LAN:
TCP WAN address 22 (SSH) LAN address 22 (SSH) *Firewall: NAT: Port Forward:
If Proto Ext. port range NAT IP Int. port range Description
WAN TCP 22 (SSH) 192.168.0.254 22 (SSH)
(ext.: мой вн. ип) -
LAN:
TCP WAN address 22 (SSH) LAN address 22 (SSH) *Не правильно Порт на WAN должен быть any(*) тк исходящий берется системой первый свободный:
TCP WAN address * LAN address 22 (SSH) *Firewall: NAT: Port Forward:
If Proto Ext. port range NAT IP Int. port range Description
WAN TCP 22 (SSH) 192.168.0.254 22 (SSH)Вроде оно..
-
не работает :) может вы выложите рабочую конфигурацию с проброской этого ссш?
-
не работает :) может вы выложите рабочую конфигурацию с проброской этого ссш?
К сожалению нет - я в отпуске.
Попробуйте для LAN такое правило: " разрешить с любого адреса(src=) и порта(src port=) доступ на LAN на порт 22 " -
не пашет :)
сделал уже так: разрешил на оба интерфейса откуда угодно на что угодно доступ к 22 порту
в настройках форвардинга портов оставил всё как прежде - все обращения на WAN к 22 порту перекидовать на 22 порт LAN ..
Вообще странно, с iptables за пару часов разобрался, а с этим второй день уж вожусь :(If Proto Ext. port range NAT IP Int. port range Description
WAN TCP 22 (SSH) 192.168.0.254 (ext.: any) 22 (SSH) -
покапавшись и потыкавшись по этому чёртовому пфсенсовому нату, пришил к тому, что он мапит порты в локалку без проблем.. а вот на лан интерфейс ну никак не хочет.. Короче ещё пару дней помучаюсь, если не получится, эх вернусь к своим стопудовоработающим айпитейблсам : (
-
там в menu wan в самом низу есть галочка Block bogon networks, попробуйте её снять и применить правило
-
-
неа, не работает : ) давайте тогда для чистоты эксперимента:
правила на лан, ван, нат(уже есть) и версию дистрибутива -
я здесь заметил одну штуку, не знаю, может не так, но факт, :) Короче когда загружаешься с live cd все правила вроде бы работают но, стоит установить сей дистр на винт или другой носитель…. то правила не работают :)... может у меня глюки ....
-
неа, не работает : ) давайте тогда для чистоты эксперимента:
правила на лан, ван, нат(уже есть) и версию дистрибутиваVer 1.2
Интерфейсы Ethernet
WAN -- разрешено все с подсети LAN в любом направлении
- включен исх нат. подсети LAN
- разрешен коннект на 22 порт WAN с любого источника.
LAN - разрешено все в любую сторону (any-any-any…).
Есс-нно SSH в конфиге включен и на 22 порту.
-
опять не стрельнуло :( а вы можете конфиг выгрузить и сюда приложить?
-
опять не стрельнуло :( а вы можете конфиг выгрузить и сюда приложить?
Нет, конфиг рабочий..
-
может ещё что посоветуете, как обойти это?.. Просто нельзя оставлять только одну точку входа(хттпс) для администрирования из вне.. Ляжет веб интерфейс - и хана, а шлюз будет оооочень далеко..
-
может ещё что посоветуете, как обойти это?.. Просто нельзя оставлять только одну точку входа(хттпс) для администрирования из вне.. Ляжет веб интерфейс - и хана, а шлюз будет оооочень далеко..
Могу попробовать посмотреть (если доверите).
-
настрой web интерфейс на доступ по https:\\ всяко секьюернее…... и попробуй поднять vpn сервак... а там уже легче настроить ssh :)
-
Я бы начал с "посмотреть, а получает ли файрволл что-либо на WAN интерфейсе на порт 22?"
На pfSense запускайте tcpdump -i здесь имя WAN -n -s0 tcp port 22
и пробуйте подключиться на WAN, видите хоть какие пакеты или как? что видите, рассказывайте