Accesso all'interfaccia web da remoto

[tarsis]

Buongiorno,
sto installando dei firewall ipfire su alcuni plessi di una scuola. Avrei bisogno di creare degli accessi da remoto via internet all'interfaccia web per evitare di spostarmi fisicamente per ogni modifica.
In un plesso ho risolto creando la regola di nat forwarding sulla porta 444 inserendo l'ip pubblico come indirizzo e un secondo ip pubblico come gataway.
Però funziona sono se come l'ingresso metto la linea rossa e non mettendo specifici indirizzi MAC.
Negli altri pressi in un ho solo un IP pubblico non sono riuscito a creare l'accesso da remoto, come posso fare senza dare al firewall un IP pubblico? (cioè inserendo il gataway della LAN e usando però l'IP pubblico per l'accesso da remoto).

Grazie

Sp

[umby]

ciao, io sinceramente non farei mai una regola dove dall'indirizzo IP pubblico arrivo all'interfaccia di configurazione del FW
questo per alcuni motivi, ma il prima motivo che poi è quello piu ovvia solo per una questione di sicurezza
crea una VPN e dalla VPN accedi all'interfaccia web a questo punto sei molto piu sicuro che nessuno tenti di violare il tuo FW

[tarsis]

Grazie, mi spiegheresti come poter fare?

[umby]

devi creare una VPN, entrando nella sezione OPNVPN, se cerchi sul sito trovi una guida, la stessa è stata fatta un po di tempo fa per cui ci sono alcuni passaggi che sono cambiati, ma non è difficile 
una volta creata la VPN crei una regola FW che ti permette di accedere alla dashboard di configurazione del tuo FW
essendo la VPN con certificati se gli stessi li hai solo te nessun'altro potrà accedere, e se vuoi aumentare la sicurezza puoi attivare il controllo a due fattori

[tarsis]

Devo creare una VNP sulla Rossa giusto?
Ma generare il certificato è obbligatorio?
Per la regola RW devo usare l'IP della VNP?
Grazie!

[umby]

ciao da quello che scrivi intuisco che è la tua prima esperienza con la VPN
comunque si devi creare il certificato per la VPN
per le regole del FW devi decidere cosa puo fare la persona che arriva dall'esterno, se vuoi che acceda solo all'indirizzo 192.168.1.34 (per esempio) dovrai crea quella regola