SSH на WAN интерфейсе

[Caligo]

Прочёл всё что нашёл по этому поводу. Пишут, что ссш по дефолту слушает и внутренний и внешний интерфейс, и что для доступа к внешнему, надо всего лишь сконфигурить правило для доступа к соответствующему порту на соответствующем интерфейсе.

мои правила для WAN:

Proto  Source  Port  Destination  Port              Gateway  Schedule  Description 
TCP             *          *  WAN address 443 (HTTPS) *    
TCP             *         * WAN address 22 (SSH)         *

ssh - включён :), порт - стандартный.. 443 работает, 22 - нет.
Можно запустить второй ссш на нужном интерфейсе и порте, но мне кажется это не лучшее решение..

[dvserg]

Правильный файрвол слушает ссш только на LAN по умолчанию. Здесь тако-же.
Для доступа к ССШ на WAN нужно

• разрешить доступ на 22 порт WAN из инета
• разрешить доступ на 22 порт LAN с интерфейса WAN
• пробросить 22 порт мапингом с WAN на LAN.

[Caligo]

Да вобщем-то и так тоже пробовал… не :(работает шел

Получились такие правила:

WAN:
Proto  Source  Port  Destination  Port            Gateway  Schedule  Description 
TCP             *           * WAN address 443 (HTTPS) *    
TCP             *           * WAN address 22 (SSH)         *

LAN:
TCP      WAN address  22 (SSH)  LAN address  22 (SSH)          *

Firewall: NAT: Port Forward:
If              Proto            Ext. port range  NAT IP        Int. port range  Description 
WAN         TCP                       22 (SSH)       192.168.0.254        22 (SSH)
                                                                    (ext.: мой вн. ип)

[dvserg]

LAN:
TCP          WAN address  22 (SSH)  LAN address  22 (SSH)             *

Не правильно Порт на WAN должен быть any(*) тк исходящий берется системой первый свободный:
TCP          WAN address  * LAN address  22 (SSH)             *

Firewall: NAT: Port Forward:
If                 Proto                Ext. port range     NAT IP            Int. port range     Description     
WAN             TCP                           22 (SSH)           192.168.0.254        22 (SSH)

Вроде оно..

[Caligo]

не работает :) может вы выложите рабочую конфигурацию с проброской этого ссш?

[dvserg]

@Caligo:

не работает :) может вы выложите рабочую конфигурацию с проброской этого ссш?

К сожалению нет - я в отпуске.
Попробуйте для LAN такое правило: " разрешить с любого адреса(src=) и порта(src port=) доступ на LAN на порт 22 "

[Caligo]

не пашет :)

сделал уже так: разрешил на оба интерфейса откуда угодно на что угодно доступ к 22 порту
в настройках форвардинга портов оставил всё как прежде - все обращения на WAN к 22 порту перекидовать на 22 порт LAN ..
Вообще странно, с iptables за пару часов разобрался, а с этим второй день уж вожусь :(

If          Proto  Ext. port range        NAT IP                Int. port range  Description
WAN  TCP  22 (SSH)  192.168.0.254 (ext.: any) 22 (SSH)

[Caligo]

покапавшись и потыкавшись по этому чёртовому пфсенсовому нату, пришил к тому, что он мапит порты в локалку без проблем.. а вот на лан интерфейс ну никак не хочет.. Короче ещё пару дней помучаюсь, если не получится, эх вернусь к своим стопудовоработающим айпитейблсам : (

[fox]

там в menu wan в самом низу есть галочка Block bogon networks, попробуйте её снять и применить правило

[dvserg]

Ради интереса поставил вторую сетевуху и загрузился с лайвсд
Проверил  SSH форварднг на WAN - все работает ! :
–-
Interface WAN
Ext addr any
Proto TCP
Ext port range SSH/SSH
NAT IP адрес лана
Local port SSH

[Caligo]

неа, не работает  : ) давайте тогда для чистоты эксперимента:
правила на лан, ван, нат(уже есть) и версию дистрибутива

[fox]

я здесь заметил одну штуку, не знаю, может не так, но факт, :) Короче когда загружаешься с live cd все правила вроде бы работают но, стоит установить сей дистр на винт или другой носитель…. то правила не работают :)... может у меня глюки ....

[dvserg]

@Caligo:

неа, не работает  : ) давайте тогда для чистоты эксперимента:
правила на лан, ван, нат(уже есть) и версию дистрибутива

Ver 1.2
Интерфейсы Ethernet
WAN -

• разрешено все с подсети LAN в любом направлении
• включен исх нат. подсети LAN
• разрешен коннект на 22 порт WAN с любого источника.
  LAN
• разрешено все в любую сторону (any-any-any…).

Есс-нно SSH в конфиге включен и на 22 порту.

[Caligo]

опять не стрельнуло :( а вы можете конфиг выгрузить и сюда приложить?

[dvserg]

@Caligo:

опять не стрельнуло :( а вы можете конфиг выгрузить и сюда приложить?

Нет, конфиг рабочий..

[Caligo]

может ещё что посоветуете, как обойти это?.. Просто нельзя оставлять только одну точку входа(хттпс) для администрирования из вне.. Ляжет веб интерфейс - и хана, а шлюз будет оооочень далеко..

[dvserg]

@Caligo:

может ещё что посоветуете, как обойти это?.. Просто нельзя оставлять только одну точку входа(хттпс) для администрирования из вне.. Ляжет веб интерфейс - и хана, а шлюз будет оооочень далеко..

Могу попробовать посмотреть (если доверите).

[fox]

настрой web интерфейс на доступ по https:\\ всяко секьюернее…... и попробуй поднять vpn сервак... а там уже легче настроить ssh :)

[Eugene]

Я бы начал с "посмотреть, а получает ли файрволл что-либо на WAN интерфейсе на порт 22?"
На pfSense запускайте tcpdump -i здесь имя WAN -n -s0 tcp port 22
и пробуйте подключиться на WAN, видите хоть какие пакеты или как? что видите, рассказывайте