SSH на WAN интерфейсе



  • Прочёл всё что нашёл по этому поводу. Пишут, что ссш по дефолту слушает и внутренний и внешний интерфейс, и что для доступа к внешнему, надо всего лишь сконфигурить правило для доступа к соответствующему порту на соответствующем интерфейсе.

    мои правила для WAN:

    Proto  Source  Port  Destination  Port              Gateway  Schedule  Description 
    TCP             *          *  WAN address 443 (HTTPS) *    
    TCP             *         * WAN address 22 (SSH)         *

    ssh - включён :), порт - стандартный.. 443 работает, 22 - нет.
    Можно запустить второй ссш на нужном интерфейсе и порте, но мне кажется это не лучшее решение..



  • Правильный файрвол слушает ссш только на LAN по умолчанию. Здесь тако-же.
    Для доступа к ССШ на WAN нужно

    • разрешить доступ на 22 порт WAN из инета
    • разрешить доступ на 22 порт LAN с интерфейса WAN
    • пробросить 22 порт мапингом с WAN на LAN.


  • Да вобщем-то и так тоже пробовал… не :(работает шел

    Получились такие правила:

    WAN:
    Proto  Source  Port  Destination  Port            Gateway  Schedule  Description 
    TCP             *           * WAN address 443 (HTTPS) *    
    TCP             *           * WAN address 22 (SSH)         *

    LAN:
    TCP      WAN address  22 (SSH)  LAN address  22 (SSH)          *

    Firewall: NAT: Port Forward:
    If              Proto            Ext. port range  NAT IP        Int. port range  Description 
    WAN         TCP                       22 (SSH)       192.168.0.254        22 (SSH)
                                                                        (ext.: мой вн. ип)



  • LAN:
    TCP          WAN address  22 (SSH)  LAN address  22 (SSH)             *

    Не правильно Порт на WAN должен быть any(*) тк исходящий берется системой первый свободный:
    TCP          WAN address  * LAN address  22 (SSH)             *

    Firewall: NAT: Port Forward:
    If                 Proto                Ext. port range     NAT IP            Int. port range     Description     
    WAN             TCP                           22 (SSH)           192.168.0.254        22 (SSH)

    Вроде оно..



  • не работает :) может вы выложите рабочую конфигурацию с проброской этого ссш?



  • @Caligo:

    не работает :) может вы выложите рабочую конфигурацию с проброской этого ссш?

    К сожалению нет - я в отпуске.
    Попробуйте для LAN такое правило: " разрешить с любого адреса(src=) и порта(src port=) доступ на LAN на порт 22 "



  • не пашет :)

    сделал уже так: разрешил на оба интерфейса откуда угодно на что угодно доступ к 22 порту
    в настройках форвардинга портов оставил всё как прежде - все обращения на WAN к 22 порту перекидовать на 22 порт LAN ..
    Вообще странно, с iptables за пару часов разобрался, а с этим второй день уж вожусь :(

    If          Proto  Ext. port range        NAT IP                Int. port range  Description
    WAN  TCP  22 (SSH)  192.168.0.254 (ext.: any) 22 (SSH)



  • покапавшись и потыкавшись по этому чёртовому пфсенсовому нату, пришил к тому, что он мапит порты в локалку без проблем.. а вот на лан интерфейс ну никак не хочет.. Короче ещё пару дней помучаюсь, если не получится, эх вернусь к своим стопудовоработающим айпитейблсам : (



  • там в menu wan в самом низу есть галочка Block bogon networks, попробуйте её снять и применить правило



  • Ради интереса поставил вторую сетевуху и загрузился с лайвсд
    Проверил  SSH форварднг на WAN - все работает ! :
    –-
    Interface WAN
    Ext addr any
    Proto TCP
    Ext port range SSH/SSH
    NAT IP адрес лана
    Local port SSH



  • неа, не работает  : ) давайте тогда для чистоты эксперимента:
    правила на лан, ван, нат(уже есть) и версию дистрибутива



  • я здесь заметил одну штуку, не знаю, может не так, но факт, :) Короче когда загружаешься с live cd все правила вроде бы работают но, стоит установить сей дистр на винт или другой носитель…. то правила не работают :)... может у меня глюки ....



  • @Caligo:

    неа, не работает  : ) давайте тогда для чистоты эксперимента:
    правила на лан, ван, нат(уже есть) и версию дистрибутива

    Ver 1.2
    Интерфейсы Ethernet
    WAN -

    • разрешено все с подсети LAN в любом направлении
    • включен исх нат. подсети LAN
    • разрешен коннект на 22 порт WAN с любого источника.
      LAN
    • разрешено все в любую сторону (any-any-any…).

    Есс-нно SSH в конфиге включен и на 22 порту.



  • опять не стрельнуло :( а вы можете конфиг выгрузить и сюда приложить?



  • @Caligo:

    опять не стрельнуло :( а вы можете конфиг выгрузить и сюда приложить?

    Нет, конфиг рабочий..



  • может ещё что посоветуете, как обойти это?.. Просто нельзя оставлять только одну точку входа(хттпс) для администрирования из вне.. Ляжет веб интерфейс - и хана, а шлюз будет оооочень далеко..



  • @Caligo:

    может ещё что посоветуете, как обойти это?.. Просто нельзя оставлять только одну точку входа(хттпс) для администрирования из вне.. Ляжет веб интерфейс - и хана, а шлюз будет оооочень далеко..

    Могу попробовать посмотреть (если доверите).



  • настрой web интерфейс на доступ по https:\\ всяко секьюернее…... и попробуй поднять vpn сервак... а там уже легче настроить ssh :)



  • Я бы начал с "посмотреть, а получает ли файрволл что-либо на WAN интерфейсе на порт 22?"
    На pfSense запускайте tcpdump -i здесь имя WAN -n -s0 tcp port 22
    и пробуйте подключиться на WAN, видите хоть какие пакеты или как? что видите, рассказывайте


Locked