LINUX.ORG.RU

Как пробросить SSH порт в pfSense?

 , , ,


0

1

Есть выделенный сервер, взятый у Hetzner. На нем установлен KVM. На одном выделенном IP работает сам сервер, на втором дополнительном выделенном IP работает виртуалка, на которой установлен pfSense и которая выполняет роль роутера: раздает интернет остальным виртуалкам в локальной сети, у которых нет внешнего IP-адреса.
С помощью pfSense и NAT мне удалось пробросить ее 443-й порт, на котором находится админка. Так что я ее теперь открываю на реальной машине в браузере.
Но вот пробросить с помощью этого роутера SSH порт с другой виртуалки я мучаюсь весь вечер, никак не удается. Что самое идиотское в этом, правила практически одинаковые! Разве что вместо 192.168.1.1 стоит 192.168.1.2 (для другого сервера) и вместо HTTPS стоит SSH. Не знаю, почему он так себя ведет. Вот скриншоты:
1. Работающее правило, которое пробрасывает Web-интерфейс на внешний IP: https://i.imgur.com/FdpLrnf.jpg
2. Аналогичное ему, но не работающее правило для SSH: http://i.imgur.com/ToX6Wc5.jpg
3. Вот как эти правила выглядят извне: http://i.imgur.com/JEln4mz.jpg
4. И еще когда я лазил по настройкам, пытаясь понять, в чем причина, я наткнулся вот на такое правило. Мне кажется, оно имеет отношение к безупречной работе 443 порта. Только непонятно, как таким же макаром 22-й порт открыть.
Большинство остальных настроек оставлены по умолчанию. Забыл упомянуть, что внутри локальной сети SSH того сервера работает без проблем. С другого сервера открываю ssh 192.168.1.2 - все пашет идеально. Но на внешнем IP работать не хочет, хоть тресни. Помогите пожалуйста разобраться, в чем причина!

★★★★★

Не совсем понятно, какие правила фаервола на локальном сетевом интерфейсе... вы показали только стандартные на 80+443 порт. Это все что там есть? Если правила нет - пакеты по форвардингу проходят в локальную сеть ко второму серверу, а вот ответы со второго сервера блокируются на локальном сетевом интерфейсе роутера. Надо добавить разрешающее правило для локального сетевого интерфейса pfsense, где источник - адрес второго сервера + ssh порт, а получателя не указывать. Примерно как-то так...

viewizard ★★ ()
Ответ на: комментарий от viewizard

Нет, вот полный список правил локального интерфейса: http://i.imgur.com/Fu3Zq6T.jpg
Но остальные 2 правила там были изначально, я их не создавал и не изменял.

Rinaldus ★★★★★ ()

К правилу NAT нужно еще правило, разрешающее траффик на 22 порт на WAN в настройках фаевволла.

anonymous ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.