SSH на WAN интерфейсе

[Caligo]

не пашет :)

сделал уже так: разрешил на оба интерфейса откуда угодно на что угодно доступ к 22 порту
в настройках форвардинга портов оставил всё как прежде - все обращения на WAN к 22 порту перекидовать на 22 порт LAN ..
Вообще странно, с iptables за пару часов разобрался, а с этим второй день уж вожусь :(

If          Proto  Ext. port range        NAT IP                Int. port range  Description
WAN  TCP  22 (SSH)  192.168.0.254 (ext.: any) 22 (SSH)

[Caligo]

покапавшись и потыкавшись по этому чёртовому пфсенсовому нату, пришил к тому, что он мапит порты в локалку без проблем.. а вот на лан интерфейс ну никак не хочет.. Короче ещё пару дней помучаюсь, если не получится, эх вернусь к своим стопудовоработающим айпитейблсам : (

[fox]

там в menu wan в самом низу есть галочка Block bogon networks, попробуйте её снять и применить правило

[dvserg]

Ради интереса поставил вторую сетевуху и загрузился с лайвсд
Проверил  SSH форварднг на WAN - все работает ! :
–-
Interface WAN
Ext addr any
Proto TCP
Ext port range SSH/SSH
NAT IP адрес лана
Local port SSH

[Caligo]

неа, не работает  : ) давайте тогда для чистоты эксперимента:
правила на лан, ван, нат(уже есть) и версию дистрибутива

[fox]

я здесь заметил одну штуку, не знаю, может не так, но факт, :) Короче когда загружаешься с live cd все правила вроде бы работают но, стоит установить сей дистр на винт или другой носитель…. то правила не работают :)... может у меня глюки ....

[dvserg]

@Caligo:

неа, не работает  : ) давайте тогда для чистоты эксперимента:
правила на лан, ван, нат(уже есть) и версию дистрибутива

Ver 1.2
Интерфейсы Ethernet
WAN -

• разрешено все с подсети LAN в любом направлении
• включен исх нат. подсети LAN
• разрешен коннект на 22 порт WAN с любого источника.
  LAN
• разрешено все в любую сторону (any-any-any…).

Есс-нно SSH в конфиге включен и на 22 порту.

[Caligo]

опять не стрельнуло :( а вы можете конфиг выгрузить и сюда приложить?

[dvserg]

@Caligo:

опять не стрельнуло :( а вы можете конфиг выгрузить и сюда приложить?

Нет, конфиг рабочий..

[Caligo]

может ещё что посоветуете, как обойти это?.. Просто нельзя оставлять только одну точку входа(хттпс) для администрирования из вне.. Ляжет веб интерфейс - и хана, а шлюз будет оооочень далеко..

[dvserg]

@Caligo:

может ещё что посоветуете, как обойти это?.. Просто нельзя оставлять только одну точку входа(хттпс) для администрирования из вне.. Ляжет веб интерфейс - и хана, а шлюз будет оооочень далеко..

Могу попробовать посмотреть (если доверите).

[fox]

настрой web интерфейс на доступ по https:\\ всяко секьюернее…... и попробуй поднять vpn сервак... а там уже легче настроить ssh :)

[Eugene]

Я бы начал с "посмотреть, а получает ли файрволл что-либо на WAN интерфейсе на порт 22?"
На pfSense запускайте tcpdump -i здесь имя WAN -n -s0 tcp port 22
и пробуйте подключиться на WAN, видите хоть какие пакеты или как? что видите, рассказывайте