Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    SSH на WAN интерфейсе

    Scheduled Pinned Locked Moved Russian
    19 Posts 4 Posters 12.0k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • C
      Caligo
      last edited by

      Прочёл всё что нашёл по этому поводу. Пишут, что ссш по дефолту слушает и внутренний и внешний интерфейс, и что для доступа к внешнему, надо всего лишь сконфигурить правило для доступа к соответствующему порту на соответствующем интерфейсе.

      мои правила для WAN:

      Proto  Source  Port  Destination  Port              Gateway  Schedule  Description 
      TCP             *          *  WAN address 443 (HTTPS) *    
      TCP             *         * WAN address 22 (SSH)         *

      ssh - включён :), порт - стандартный.. 443 работает, 22 - нет.
      Можно запустить второй ссш на нужном интерфейсе и порте, но мне кажется это не лучшее решение..

      1 Reply Last reply Reply Quote 0
      • D
        dvserg
        last edited by

        Правильный файрвол слушает ссш только на LAN по умолчанию. Здесь тако-же.
        Для доступа к ССШ на WAN нужно

        • разрешить доступ на 22 порт WAN из инета
        • разрешить доступ на 22 порт LAN с интерфейса WAN
        • пробросить 22 порт мапингом с WAN на LAN.

        SquidGuardDoc EN  RU Tutorial
        Localization ru_PFSense

        1 Reply Last reply Reply Quote 0
        • C
          Caligo
          last edited by

          Да вобщем-то и так тоже пробовал… не :(работает шел

          Получились такие правила:

          WAN:
          Proto  Source  Port  Destination  Port            Gateway  Schedule  Description 
          TCP             *           * WAN address 443 (HTTPS) *    
          TCP             *           * WAN address 22 (SSH)         *

          LAN:
          TCP      WAN address  22 (SSH)  LAN address  22 (SSH)          *

          Firewall: NAT: Port Forward:
          If              Proto            Ext. port range  NAT IP        Int. port range  Description 
          WAN         TCP                       22 (SSH)       192.168.0.254        22 (SSH)
                                                                              (ext.: мой вн. ип)

          1 Reply Last reply Reply Quote 0
          • D
            dvserg
            last edited by

            LAN:
            TCP          WAN address  22 (SSH)  LAN address  22 (SSH)             *

            Не правильно Порт на WAN должен быть any(*) тк исходящий берется системой первый свободный:
            TCP          WAN address  * LAN address  22 (SSH)             *

            Firewall: NAT: Port Forward:
            If                 Proto                Ext. port range     NAT IP            Int. port range     Description     
            WAN             TCP                           22 (SSH)           192.168.0.254        22 (SSH)

            Вроде оно..

            SquidGuardDoc EN  RU Tutorial
            Localization ru_PFSense

            1 Reply Last reply Reply Quote 0
            • C
              Caligo
              last edited by

              не работает :) может вы выложите рабочую конфигурацию с проброской этого ссш?

              1 Reply Last reply Reply Quote 0
              • D
                dvserg
                last edited by

                @Caligo:

                не работает :) может вы выложите рабочую конфигурацию с проброской этого ссш?

                К сожалению нет - я в отпуске.
                Попробуйте для LAN такое правило: " разрешить с любого адреса(src=) и порта(src port=) доступ на LAN на порт 22 "

                SquidGuardDoc EN  RU Tutorial
                Localization ru_PFSense

                1 Reply Last reply Reply Quote 0
                • C
                  Caligo
                  last edited by

                  не пашет :)

                  сделал уже так: разрешил на оба интерфейса откуда угодно на что угодно доступ к 22 порту
                  в настройках форвардинга портов оставил всё как прежде - все обращения на WAN к 22 порту перекидовать на 22 порт LAN ..
                  Вообще странно, с iptables за пару часов разобрался, а с этим второй день уж вожусь :(

                  If          Proto  Ext. port range        NAT IP                Int. port range  Description
                  WAN  TCP  22 (SSH)  192.168.0.254 (ext.: any) 22 (SSH)

                  1 Reply Last reply Reply Quote 0
                  • C
                    Caligo
                    last edited by

                    покапавшись и потыкавшись по этому чёртовому пфсенсовому нату, пришил к тому, что он мапит порты в локалку без проблем.. а вот на лан интерфейс ну никак не хочет.. Короче ещё пару дней помучаюсь, если не получится, эх вернусь к своим стопудовоработающим айпитейблсам : (

                    1 Reply Last reply Reply Quote 0
                    • F
                      fox
                      last edited by

                      там в menu wan в самом низу есть галочка Block bogon networks, попробуйте её снять и применить правило

                      1 Reply Last reply Reply Quote 0
                      • D
                        dvserg
                        last edited by

                        Ради интереса поставил вторую сетевуху и загрузился с лайвсд
                        Проверил  SSH форварднг на WAN - все работает ! :
                        –-
                        Interface WAN
                        Ext addr any
                        Proto TCP
                        Ext port range SSH/SSH
                        NAT IP адрес лана
                        Local port SSH

                        SquidGuardDoc EN  RU Tutorial
                        Localization ru_PFSense

                        1 Reply Last reply Reply Quote 0
                        • C
                          Caligo
                          last edited by

                          неа, не работает  : ) давайте тогда для чистоты эксперимента:
                          правила на лан, ван, нат(уже есть) и версию дистрибутива

                          1 Reply Last reply Reply Quote 0
                          • F
                            fox
                            last edited by

                            я здесь заметил одну штуку, не знаю, может не так, но факт, :) Короче когда загружаешься с live cd все правила вроде бы работают но, стоит установить сей дистр на винт или другой носитель…. то правила не работают :)... может у меня глюки ....

                            1 Reply Last reply Reply Quote 0
                            • D
                              dvserg
                              last edited by

                              @Caligo:

                              неа, не работает  : ) давайте тогда для чистоты эксперимента:
                              правила на лан, ван, нат(уже есть) и версию дистрибутива

                              Ver 1.2
                              Интерфейсы Ethernet
                              WAN -

                              • разрешено все с подсети LAN в любом направлении
                              • включен исх нат. подсети LAN
                              • разрешен коннект на 22 порт WAN с любого источника.
                                LAN
                              • разрешено все в любую сторону (any-any-any…).

                              Есс-нно SSH в конфиге включен и на 22 порту.

                              SquidGuardDoc EN  RU Tutorial
                              Localization ru_PFSense

                              1 Reply Last reply Reply Quote 0
                              • C
                                Caligo
                                last edited by

                                опять не стрельнуло :( а вы можете конфиг выгрузить и сюда приложить?

                                1 Reply Last reply Reply Quote 0
                                • D
                                  dvserg
                                  last edited by

                                  @Caligo:

                                  опять не стрельнуло :( а вы можете конфиг выгрузить и сюда приложить?

                                  Нет, конфиг рабочий..

                                  SquidGuardDoc EN  RU Tutorial
                                  Localization ru_PFSense

                                  1 Reply Last reply Reply Quote 0
                                  • C
                                    Caligo
                                    last edited by

                                    может ещё что посоветуете, как обойти это?.. Просто нельзя оставлять только одну точку входа(хттпс) для администрирования из вне.. Ляжет веб интерфейс - и хана, а шлюз будет оооочень далеко..

                                    1 Reply Last reply Reply Quote 0
                                    • D
                                      dvserg
                                      last edited by

                                      @Caligo:

                                      может ещё что посоветуете, как обойти это?.. Просто нельзя оставлять только одну точку входа(хттпс) для администрирования из вне.. Ляжет веб интерфейс - и хана, а шлюз будет оооочень далеко..

                                      Могу попробовать посмотреть (если доверите).

                                      SquidGuardDoc EN  RU Tutorial
                                      Localization ru_PFSense

                                      1 Reply Last reply Reply Quote 0
                                      • F
                                        fox
                                        last edited by

                                        настрой web интерфейс на доступ по https:\\ всяко секьюернее…... и попробуй поднять vpn сервак... а там уже легче настроить ssh :)

                                        1 Reply Last reply Reply Quote 0
                                        • E
                                          Eugene
                                          last edited by

                                          Я бы начал с "посмотреть, а получает ли файрволл что-либо на WAN интерфейсе на порт 22?"
                                          На pfSense запускайте tcpdump -i здесь имя WAN -n -s0 tcp port 22
                                          и пробуйте подключиться на WAN, видите хоть какие пакеты или как? что видите, рассказывайте

                                          http://ru.doc.pfsense.org

                                          1 Reply Last reply Reply Quote 0
                                          • First post
                                            Last post
                                          Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.