Как работает WAN порт?

Question

[Metalhaker97]

Не могу разобраться как работает WAN порт на wi-fi роутере TP-Link.

Схема следующая, на WAN порту wi-fi роутера настроен адрес 10.100.1.1 /29 шлюзом указан адрес 10.100.1.2.
Wi-Fi роутер через WAN порт подключен к маршрутизатору CISCO.
На маршрутизаторе CISCO настроен интерфейс на адрес 10.100.1.2 /29.
Так же на wi-fi роутере настроена локальная сеть 192.168.0.0/24.
На ПК настроен ip 192.168.0.2/24 шлюзом прописан ip 192.168.0.1 который настроен на LAN wi-fi роутера.
По настройкам все, теперь к действиям.

С ПК пингуется все:
192.168.0.1
10.100.1.1
10.100.1.2

С маршрутизатора CISCO пингуется только ПК 192.168.0.2

Вот я и не могу понять, почему с CISCO не пингуется адрес 10.100.1.1, хотя в ARP таблицы виден mac адрес соответствующий этому IP и вообще эта сеть connected для CISCO.
Возможно это особенность WAN портов. Знатоки просветите в пожалуйста в этом вопросе.

Comments

[chifth]

Обычно х.х.1.1 - это шлюз, а wan роутера получает IP из его сети. Например х.х.1.2 и т.д
По симптомам у вас видимо запрещён прием пакетов на wan порт.
Хотя насколько мне известно, пинг должен быть по умолчанию открыт.
Возможно вы что-то меняли в настройках.

[Metalhaker97]

chifth, в настройках межсетевой экран отключен.

Answer 1

[Alex_2]

В подобного рода железках есть отдельный пункт запрещающий ping для wan. И находится он не в фаерволле а гдето в настройках wan.
Там же еще запрещается web доступ на порту wan.

Comments

[Metalhaker97]

Проблема в том что на роутере нет вкладки настроки удаленного доступа.

[Alex_2]

Metalhaker97, Вы бы дали модель вашего туполинка.
А так навскидку вот https://emulator.tp-link.com/TL-WDR4300/Index.htm
Далее Security -> Advanced Security там внизу галочка " Ignore Ping Packet From WAN Port"

[Metalhaker97]

Alex_2, версия TP-LINK TL-WR842N. Проблема в том, что по ссылке описание для прошивки V3, а у меня на роутере V5. Есть вкладка Security, а вот во вкладке Security нет ничего похожего на Advanced Security и т.д.

[Alex_2]

Metalhaker97, Такая прошивка ?
https://emulator.tp-link.com/TL-WR842NV5_Emulator/...
А так вообще нескромный вопрос - Зачем вам пинг на него? Ну нет его и хрен бы с ним. Траффик ходит, что еше надо? Или вы его будите постоянно его диагностировать на живость ?

[Metalhaker97]

Alex_2, пинг это второстепенно, в первую очередь нужно иметь доступ для конфигурации маршрутизатора по web, ну и мониторинг работоспособности маршрутизатора надо отслеживать по ping.

[Metalhaker97]

Alex_2, прошивка да, такая.

[Alex_2]

Metalhaker97, посмотрел эту прошивку, тоже ничего не нашел. Я так думаю поскольку железка для домашнего пользователя - они решили что нефиг ему там крутить и тупо убрали эти настройки.
Для того чтобы понять что железка еще живая достаточно пинговать то что за ней находится, как вариант ваш ПК.
Что вы там такого крутите что оно вам постоянно надо чтоб маршрутизатор был в доступе через WAN? Один раз настроил и забыл.
Ну и как вариант позвонить/написать в техподдержку TPLINK и выклевать им мозг. Только думаю будет напрасная трата времени, техподдержка нынче не та :(.
Да еще нескромный вопрос - оно именно в режиме маршрутизатора вам надо? А то может проще перевести его в режим точки доступа тупо сунув провод в LAN. Вот вам и веб доступ и пинг.

[Metalhaker97]

Alex_2, да именно в режиме маршрутизатора, т.к. Спасибо вам за ответ, будем дальше искать варианты решения своей проблемы)

[Alex_2]

Metalhaker97, Ну тогда остается только вариант прошивки OpenWRT, хотя лично мне она не нравится по интерфейсу и не факт что на вашу V5 она есть.

[Metalhaker97]

Alex_2, вы не вкурсе, есть ли возможность поставит более старую прошивку? Например V3?

[Alex_2]

Никогда не экспериментировал с таким. Да и нет желания получить кирпич. Думаю что нельзя поскольку V5 это еще и аппаратная ревизия и она скорее всего несовместима с предыдущими.
Вы бы всетаки позвонили в их поддержку, а вдруг чего и присоветуют. Чудеса иногда случаются.
Лет 10 назад я долго бился с Zyxel который ну никак не хотел работать в режиме машрутизатора. в режиме моста пожалуйста. Позвонил в ТП - сказали что надо взять три прошивки и накатить их одна за другой (ну не понимаю нафига, но они именно настаивали что вот так). И действительно после этого он заработал в режиме роутера. Мое больное воображение никогда бы не додумалось до таких танцев с бубном.

[Metalhaker97]

Чудеса случаются, почему бы не попробовать пообщаться со службой поддержки))

Answer 2

[res2001]

Обычное явление - на роутере в фаерволе закрыты пинги на WAN порт.
Можете открыть их, если нужно.

Comments

[Metalhaker97]

Пинги открыты.

[res2001]

Metalhaker97, Были бы открыты - пинговалось.
Т.к. пинги с циски в сеть за роутером идут, значит по настройкам все нормально и сеть функционирует.
Значит где-то блокирует фаервол конкретные пакеты (icmp echo request/response). Возможно блокируется на циске, а не на роутере.
Вообще циска и роутер находятся в одной сети и какой-то специальной настройки для доступа внутри сети 10.100.1.0 не требуется. Что еще раз подтверждает, что где-то пинги блокируются фаерволом, а так как тут нет промежуточных шлюзов, то вариантов всего 2 - блокируется на роутере или на циске.
Если есть возможность, включите на роутере журналирование фаервола, запустите пинг и посмотрите, что он будет блокировать. Если пинги вообще не приходят - блокирует циска.

[Metalhaker97]

res2001, на роутере есть вкладка что-то вроде фаервола, так вот там выключена галочка.

[res2001]

Metalhaker97, Галочка теоретически может влиять только на LAN порты. Тут надо подробней изучать железку. Я дела с ТР-линками не имел.
И у любого пинга есть минимум 2 стороны, на любой могут работать фаерволы.
То что пинг идет в сеть 192.168.0 не говорит о том, что пинг в сеть 10.100.1 не блокируется. Но это говорит о том, что даже не смотря на то что пинг до роутера не проходит, но сеть все равно работает и связь с роутером есть :-)

[res2001]

Metalhaker97, Посмотрите, что на роутере есть из диагностических инструментов. Если там есть аналог tcpdump попробуйте посмотреть что все таки приходит на роутер.

[Metalhaker97]

res2001, есть системный журнал, так вот там не отображены запросы Ping.

[res2001]

Metalhaker97, Не знаю, что вы имеете ввиду под системным журналом. Обычно никто не хранит информацию о проходящем трафике по каждому пакету, т.к. трафика очень много и это даже на взрослом сервере ресурсозатратно, что уж говорить о маленькой железке. Это я к тому, что в системном журнале и не должно быть такой информации в принципе.
Я писал про диагностические инструменты, аналог tcpdump (это линуксовая, которая позволяет смотреть, что проходит у вас на сетевом интерфейсе). Бывает, что какой-то подобный функционал встраивают в роутеры. Что есть в вашем, я не в курсе.

Напишите какая конкретно модель роутера у вас используется, тогда можно будет документацию посмотреть.

Answer 3

[Ruslan-Strannik]

ну потому что он ван порт. отключи фаерволл на тплинке и все пойдет.
по-умолчанию, на ВАН ничего быть разрешено не должно.

Comments

[Metalhaker97]

Фаервол отключен, пинги открыты.

[Ruslan-Strannik]

фаервол отключен? точно?
а если добавить правило, разрешающее ICMP на ван порт?

[Ruslan-Strannik]

на инпут у вас блокировка. вот и не работает.
по-другому бить не может.

[Metalhaker97]

Ruslan-Strannik, там в настройка есть ограничение по колличеству ICMP запросов. Выставлено на 1000. Можно выставить в 0 и по идее не должно пропускать ICMP запросы.

Answer 4

[chifth]

Прошить OpenWRT на этот туполинк и будет норм :)
Там вам и консоль, и iptables, и логи

Comments

[Metalhaker97]

без прошивок никак не обойтись?

[chifth]

Metalhaker97, какая у вас модель роутера и ревизия?
Прошить это просто файлик через веб-морду залить. Проще чем кажется.
Главное с английским дружить

[Metalhaker97]

chifth, прошивка v5. В прошивке v3 вроде есть возможность разрешить пинги чере wan порт. А разве более раннюю прошивку можно ставить на железку?

[chifth]

Metalhaker97, на наклейке под роутером есть надпить типа TL-WR841ND v8.4.
Напишите ее сдесь.

[Metalhaker97]

chifth, TL-WR842N v5.0.

[chifth]

Metalhaker97, https://downloads.openwrt.org/releases/18.06.8/tar...
в гугле полно инструкций как шить tftp
если вкратце - то зажатие ресета и подключение питания заставляет роутер скопировать прошивку из адреса 192,168,0,66 и прошить. Следовательно вам нужно прямое подключения роутера по кабелю к ПК , а на ПК должен быть запущен tftp сервер.

[chifth]

И да, v3 вам не подойдёт. там другой проц в 3 ревизии.

Answer 5

[megamuz]

Ну вы даёте, с чего вдруг он должен пинговаться 192.168.0.2 находится за NAT

Comments

[Obi-van_vovan]

Видимо 192.168.0.0/24 находиться не за НАТом. Да и в этом нет необходимости поскольку обе сети локальные. Другое дело что нельзя в таком случае про маршруты забывать.

[Metalhaker97]

Obi-van_vovan, на циске прописаны статический маршрут до сети 192.168...

Answer 6

[BekirovTimur]

1. У вас где то опечатка. Либо в настройках WAN, либо в настройках интерфейса на циске (скорее всего второй вариант). Покажите скриншоты настроек интерфейсов и маршрутов
2. Как Циска пингует ПК? Он же за НАТом. У нее какой то маршрут прописан статикой?

Comments

[Metalhaker97]

У циски статикой прописан маршрут в сеть 192.168.0.0/24 через 10.100.1.1.
NATы не настроены.
Настройки интерфейса на циске тривиальные, типа:

interface GigabitEthernet0/0
 ip address 10.100.1.2 255.255.255.248
end

Answer 7

[3a4yI7aTiY]

Циско не должна через wan порт видеть ПК за nat

Comments

[Metalhaker97]

На TpLink NAT не настроен.