Должен ли я предоставить доступ к серверу на OpenWrt через WAN или только через LAN с переадресацией портов из WAN?

Question

^{(Хотя в некоторых браузерах это не видно, каждый путь к файлу является ссылкой)}

Для SSH стандартной практикой является указаниеДНКАТправило [переадресация портов] для внутренней сети, в которой он находится; тогда как для VPN-сервера вы бы создали правило, разрешающее WAN-доступ к его серверному порту:

Wireguard Вики

SSH:

/etc/config/firewall:

#

    ##::[[---  OpenWrt WAN Firewall Config  ---]]::##

#===========================================================
              ##----- NAT Redirects -----##
#===========================================================

# SSH #
#-----------------------------------------------------------
config redirect
    option  target          'DNAT'
    option  proto           'tcp'
    option  src             'wan'
    option  src_dport       60501
    option  dest            'lan'
    option  dest_ip         192.168.1.1
    option  dest_port       22
    option  name            'Allow Redirect WAN → LAN (SSH)'

config redirect
    option  target          'DNAT'
    option  proto           'tcp'
    option  src             'vpn'
    option  src_dport       60502
    option  dest            'lan'
    option  dest_ip         192.168.1.1
    option  dest_port       22
    option  name            'Allow Redirect Wireguard → LAN (SSH)'

#===========================================================
                  ##----- VPN Zones -----##
#===========================================================

# Wireguard #
#-----------------------------------------------------------
config zone
    option  name            'vpn'
    option  network         'vpn'
    option  input           'ACCEPT'
    option  forward         'ACCEPT'
    option  output          'ACCEPT'
    option  log             1

# Rules:
#-----------------------------------------------------------
config rule
    option  target          'ACCEPT'
    option  proto           'tcp udp'
    option  src             'wan'
    option  dest            '*'
    option  dest_port       51820
    option  name            'Allow Forwarded Wireguard → Router'

config rule
    option  target          'ACCEPT'
    option  proto           'tcp'
    option  src             'vpn'
    option  dest            '*'
    option  dest_port       60502
    option  name            'Allow Wireguard → Router (SSH)'

/etc/config/dropbear:

#

      ##::[[---  OpenWrt DropBear Config  ---]]::##

#===========================================================
                 ##----- Default -----##
#===========================================================

# Server #
#-----------------------------------------------------------
config dropbear
    option  enable            1
    option  Interface         'lan'
    option  PasswordAuth      'off'
    option  RootPasswordAuth  'off'
    option  IdleTimeout       0
    option  Port              22
    option  RootLogin         1
    option  SSHKeepAlive      300
    option  verbose           1

/etc/ssh/sshd_config: ^{(Индивидуальный)}

#

    ##::[[---  OpenWrt OpenSSH SSHd Config  ---]]::##

#===========================================================
              ##----- Global Options -----##
#===========================================================

  # Please verify, as all algorithms may not supported:

    # Ciphers:                  # HostKey & KeyTypes
      ## ssh -Q cipher            ## ssh -Q key

    # Kex [Key Exchange]        # MAC [Message Authentication Code]
      ## ssh -Q kex               ## ssh -Q mac


# Connection #
#-----------------------------------------------------------
AddressFamily                     = inet
ListenAddress                     = 192.168.1.1:22


# Encryption #
#-----------------------------------------------------------
AuthorizedKeysFile                = /root/.ssh/authorized_keys

HostKey                           = /etc/ssh/ssh_host_ed25519_key
HostKey                           = /etc/ssh/ssh_host_rsa_key


# Authentication #
#-----------------------------------------------------------
AllowUsers                        = root
AllowGroups                       = root

ChallengeResponseAuthentication   = no
PasswordAuthentication            = no
PermitEmptyPasswords              = no

StrictModes                       = yes
PubkeyAuthentication              = yes

LoginGraceTime                    = 30

MaxAuthTries                      = 3
MaxSessions                       = 10
MaxStartups                       = 3:30:10

PermitRootLogin                   = prohibit-password


# Reliability #
#-----------------------------------------------------------
ClientAliveCountMax               = 3
ClientAliveInterval               = 600

TCPKeepAlive                      = yes

UseDNS                            = yes


# Security #
#-----------------------------------------------------------
AllowAgentForwarding              = yes
AllowTcpForwarding                = yes

GatewayPorts                      = clientspecified
PermitTunnel                      = yes

Subsystem   sftp                  = /usr/lib/sftp-server

RekeyLimit                        = 500M 60m


# Logging #
#-----------------------------------------------------------
SyslogFacility                    = AUTH
LogLevel                          = VERBOSE

PidFile                           = /tmp/run/sshd.pid


# Ciphers and ReKeying #
#-----------------------------------------------------------
FingerprintHash                   = sha256

Ciphers                           = [email protected],[email protected],aes128-ctr,aes128-cbc,aes192-ctr,aes192-cbc,aes256-ctr,aes256-cbc,[email protected]

HostKeyAlgorithms                 = ssh-ed25519,ssh-rsa,ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521

HostbasedAcceptedKeyTypes         = ssh-ed25519,ssh-rsa,ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521

KexAlgorithms                     = [email protected],curve25519-sha256,ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256

MACs                              = [email protected],[email protected],hmac-sha2-256,hmac-sha2-512

PubkeyAcceptedKeyTypes            = ssh-ed25519,ssh-rsa,ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521

ЛюСИ:
1. https://<router IP>→Сеть ^{(левое меню)}→Брандмауэр
2. Правила дорожного движения
  1. ДОБАВЛЯТЬ:
    Имя: Allow Forwarded Wireguard → Router
    Протокол: TCP UDP
    Зона источника: wan
    Зона назначения: Any zone (forward)
    Порт назначения: 51820
    Действие: accept
    СОХРАНЯТЬ
  2. ДОБАВЛЯТЬ:
    Имя: Allow Wireguard → Router (SSH)
    Протокол: TCP
    Зона источника: vpn
    Зона назначения: Any zone (forward)
    Порт назначения: 60502
    Действие: accept
    СОХРАНЯТЬ
3. Порт Форварды
  1. ДОБАВЛЯТЬ:
    Имя: Allow Redirect WAN → LAN (SSH)
    Протокол: TCP
    Зона источника: wan
    Внешний порт: 60501
    Зона назначения: lan
    Внутренний IP-адрес: 192.168.1.1
    Внутренний порт: 22
    Действие: accept
    СОХРАНЯТЬ
  2. ДОБАВЛЯТЬ:
    Имя: Allow Redirect VPN → LAN (SSH)
    Протокол: TCP
    Зона источника: vpn
    Внешний порт: 60502
    Зона назначения: lan
    Внутренний IP-адрес: 192.168.1.1
    Внутренний порт: 22
    Действие: accept
    СОХРАНЯТЬ
4. СОХРАНИТЬ И ПРИМЕНИТЬ

Answer 1