Не пингуются внешние адреса с клиентских машин (Mikrotik)

Question

[Muzhaos]

Добрый день.

Проблема в следующем: Есть роутер Mikrotik RB2011, Router OS 6.11. С клиентских машин не идет пинг на внешние адреса. То есть если я пропишу в браузере "yandex.ru" я попаду туда, куда нужно, а вот если я пропишу в консоли ping yandex.ru, он определит IP адрес, но пинг не пойдет. Тоже самое касается 8.8.8.8. С самого микротика пинг идет куда угодно. В сети так же есть DNS сервер на Windows 2012 и по той же причине он не может биться на публичные DNS, только на микротик внутри сети, а он уже бьется на DNS провайдера.

Понимаю, что проблема где то либо в маршрутах, либо в правилах. Но пробовал отключать все правила, которые у меня там прописаны - эффекта ноль. Да и правил таких там нету... Ткните носом, куда смотреть.

Спасибо.

Answer 1

[Oleg Burca]

Надо настроить маскарад (masquerade/srcnat).

Comments

[Muzhaos]

Он тоже есть, и работает. Говорю же - интернет с клиентских машин работает исправно. Сейчас вот с рабочего компа пишу. Не работает именно пинг, хочется разобраться почему. Из за того, что пинг не работает DNS сервер обходит все, кроме микротика (так как считает, что другие публичные днс сервера не отвечают). А нужно, чтобы в сети был только один DNS сервер.

[Oleg Burca]

Извините, прочитал невнимательно.

На Микротике настроена передача ICMP?
Нужны два правила: одно на приём, второе на перенаправление.

Если из консоли то будет примерно так:
/ip firewall filter
add chain=input protocol=icmp action=accept
add chain=forward dst-to-address="192.168.0.0/24" protocol=icmp action=accept

Если у вас есть правило блокирования неучтённого трафика - drop all, то оно должно быть последним в списке.

[Muzhaos]

Хм, не помогает. Прием ICMP у меня есть, а вот второе правило перенаправления отсутствует. И добавить тоже не получается, так как "dst-to-address" не понимает. Перерыл весь графический интерфейс - тоже не нашел ничего подобного в правилах фаервола. Такое есть только в действиях NAT. Может что то еще посоветуете?

[Oleg Burca]

В гугле рекомендуют добавить следующие правила:
add chain=forward action=accept protocol=icmp icmp-options=0:0
add chain=forward action=accept protocol=icmp icmp-options=3:0
add chain=forward action=accept protocol=icmp icmp-options=3:1
add chain=forward action=accept protocol=icmp icmp-options=4:0
add chain=forward action=accept protocol=icmp icmp-options=8:0
add chain=forward action=accept protocol=icmp icmp-options=11:0
add chain=forward action=accept protocol=icmp icmp-options=12:0
icmp

[Muzhaos]

Я попробовал сварганить что то такое:
i33.fastpic.ru/big/2014/0410/f6/61e0b204a2ccd44f9e...
Не помогло. Сейчас добавлю то, что Вы нагуглили :)

[Oleg Burca]

В принципе это одно и тоже, но с дополнительными параметрами icmp-options.

[Muzhaos]

Эти правила должны быть первыми в списке?

[Muzhaos]

Хм... Такой прикол теперь: При попытке пинга с клиентской машины (со своего рабочего компа) идут пакеты по вот этому правилу - add chain=forward action=accept protocol=icmp icmp-options=8:0, но пинг по прежнему "Превышен интервал ожидания для запроса"... Хотя пакеты там идут, только когда пытаюсь пинговать.

[Oleg Burca]

Это значит что пакеты выходят, но Mikrotik не пускает ответ.
Мне всё таки кажется что не прописано (или не правильно прописано) это правило:
add chain=input protocol=icmp action=accept

[Muzhaos]

Сейчас попробую его еще раз прописать. Что то, после добавления такого количества правил стал грузиться проц под 90%

[nimbo]

@Muzhaos ip->firewall покажите пожалуйста, ну и нат тоже. по идее достаточно маскарадинга.

[nimbo]

@Cram это правило только дял пинга самого микротика. нам же нужен по сути маскарадинг на наружку и всё.

[Muzhaos]

i57.fastpic.ru/big/2014/0411/ae/a938aa03f872109c95...
Вот все правила которые там есть.

[Muzhaos]

@nimbo Есть что то примечательное в правилах?

[Герман Сухачев]

@Muzhaos, первые два правила это и есть пропуск Established, Connected? Как у вас называется "внутренний интерфейс" ? что за бардак вы там развели? оставляете те правила, которые я предлагал в другой ветке комментариев. и добавляете следующее: /ip firewall filter add chain=forward disabled=no in-interface=XXX-XXX action=accept
Где XXX-XXX - вас "внутренний" ифейс. Всё, что у вас наговнякано с цепочке forward про ICMP - можете удалить.

Таким образом вы получите прохожление любого трафика изнутри сети наружу. И обратного в случае если соединение было инициировано изнутри вашей сети.

[Герман Сухачев]

Не понял как отредактировать свой комментарий. "Established, Connected" читать как "established, related".

[Muzhaos]

@g3fox Эти цепочки были пробными, их предложил @Cram по поиску в гугле, они уже удалены. Первое правило - это пропуск icmp. Второе Established, третье related. Все остальное на данный момент банальная блокировка соц сетей, вот скрин i59.fastpic.ru/big/2014/0411/8e/e8d660b4353cdad750...
Последнее правило drop invalid. Пробовал отключать все и оставлять только разрешающие правила - эффекта не было. Уже больше всего грешу на глюк микротика, так как уже было много обновлений с момента покупки. Сравнил правила со своим домашним (у меня дома такая же моделька стоит), выставлял правила так же, как выставленно там - тоже без эффекта. Хотя дома пинг идет. Либо микротик глючит, либо что то еще режет эти пакеты... Не знаю пока что думать.

[Muzhaos]

@g3fox "Не понял как отредактировать свой комментарий. "Established, Connected" читать как "established, related"."
Я так и понял)

[Muzhaos]

@g3fox Кстати еще обратил внимание, что через маскарад идет очень маленький трафик. Не уверен что так и было раньше. По скрину (который я выложил выше) видно, что из внутренней сети, с момента последнего перезапуска, через микротик прошло 18 гб из внутренней сети, а через маскарад только 4мб. Или так и должно быть?

[Герман Сухачев]

@Muzhaos, нет, не должно быть так. по-возможности, вместо скринов используйте команду^
/ip firewall export

[Muzhaos]

/ip firewall nat
add action=masquerade chain=srcnat comment="\CC\E0\F1\EA\E0\F0\E0\E4" \
out-interface=ether1-gateway protocol=tcp
add action=masquerade chain=srcnat comment="default configuration" disabled=yes \
out-interface=ether1-gateway protocol=tcp
add action=masquerade chain=srcnat comment="default configuration" disabled=yes \
out-interface=wlan1

@g3fox вот экспорт NAT. Перенаправления не стал выкладывать, там дальше просто dst-nat до пункта назначения.

[Muzhaos]

/ip firewall filter
add chain=input comment="default configuration" protocol=icmp
add chain=input comment="default configuration" connection-state=established
add chain=input comment="default configuration" connection-state=related
add chain=input comment="Mail Accept" dst-port=25 protocol=tcp
add chain=input comment="********" dst-port=**** protocol=tcp
add action=reject chain=input comment="Port Scan Block" connection-state=new \
in-interface=ether1-gateway protocol=tcp reject-with=icmp-port-unreachable
add action=reject chain=input comment="Port Scan Block" in-interface=\
ether1-gateway protocol=tcp tcp-flags=fin,syn,ack
add action=drop chain=input comment="default configuration" in-interface=\
ether1-gateway
add action=drop chain=forward comment="Block https://vk.com" content=\
"\"Host: vk.com:443\"" in-interface=bridge-local protocol=tcp \
src-address-list=!NotBlock
add action=drop chain=forward comment="Block VK.com" content="\"Host: vk.com\"" \
in-interface=bridge-local protocol=tcp src-address-list=!NotBlock
add action=drop chain=forward comment="Block Odnoklassniki" content=\
"\"Host: odnoklassniki.ru\"" in-interface=bridge-local protocol=tcp \
src-address-list=!NotBlock
add action=drop chain=forward comment="Block Https odnoklassniki" content=\
"\"Host: https://odnoklassniki.ru\"" in-interface=bridge-local protocol=tcp
add action=drop chain=forward comment="Block Facebook https" content=\
"\"Host: facebook\"" in-interface=bridge-local protocol=tcp \
src-address-list=!NotBlock
add action=drop chain=forward comment="Block Facebook" content=\
"\"Host: facebook.com\"" in-interface=bridge-local protocol=tcp \
src-address-list=!NotBlock
add chain=forward comment="default configuration" connection-state=established
add chain=forward comment="default configuration" connection-state=related
add chain=forward icmp-options=8:0 protocol=icmp
add chain=forward in-interface=bridge-local protocol=gre
add action=drop chain=forward comment="default configuration" connection-state=\
invalid
add chain=input disabled=yes protocol=icmp
add chain=forward disabled=yes dst-address=0.0.0.0 protocol=icmp src-address=\
192.168.0.0/24
add chain=input disabled=yes dst-port=8080 in-interface=bridge-local protocol=\
tcp src-port=8080
add chain=input disabled=yes protocol=icmp

Вот экспорт фильтров.

[Герман Сухачев]

@Muzhaos У вас маскарадится только tcp!

[Muzhaos]

Хм.. На домашнем пк тоже только tcp, но пинг идёт. На какие протоколы нужно ещё маскарад включить? Icmp, udp?

[Muzhaos]

@g3fox ну надо же) добавил маскарад на все протоколы - заработало) Спасибо!

[nimbo]

@Muzhaos я, пожалуй, застрелюсь)) я дочитал ваше всё до конца))

[Muzhaos]

@nimbo ну извини, тупанул)

[Герман Сухачев]

@Muzhaos, Уберите вообще упоминание протокола.

[Muzhaos]

@g3fox я так и сделал) это и есть сразу на все :) единственное, что я не понял - это как оно изменилось только на tcp, потому как я его точно не менял и к роутеру ни у кого больше доступа нет... Могло какое либо обновление так накосячить? Обновлялся я довольно часто.

[Герман Сухачев]

Хм, не должно было повлиять. Формат командной строки для этих правил, вроде, не менялся. Но всё возможно... Скорее всего это человеческий фактор :)

Answer 2

[Герман Сухачев]

На микротике в сторону "внешки" закрыто всё, кроме 80-го порта?

Comments

[Muzhaos]

В том то и дело, что нет...

[Герман Сухачев]

Покажите трассировку с любого ПК, и вывод /ip firewall export

[Герман Сухачев]

Или сразу попробуйте добавить такие правила, только переместите их в начало:
ip firewall filter add chain=forward connection-state=established action=accept disabled=no
ip firewall filter add chain=forward connection-state=related action=accept disabled=no

[Muzhaos]

По этим правилам сразу пошли пакеты, но пинг по прежнему не проходит...

[Muzhaos]

И эти правила уже были.

Answer 3

[Валентин]

1. Смотреть правила nata
2. Смотреть файервол на железке
3. Смотреть файервол на клиентских машинах.

Comments

[Muzhaos]

Это было первое, на что я обратил внимание. Ничего сверхъестественного... в нате только перенаправления на доступ их вне к некоторому оборудованию...

Answer 4

[Сергей]

сбрось прошивку на дефолт.

Comments

[Muzhaos]

Уже думаю об этом... хочется разобраться в чем дело...

Answer 5

[Кирилл 1]

@Muzhaos попробуйте обновится, много чего пофиксили по сравнению с 6.11

www.mikrotik.com/download/share/routeros-mipsbe-6....

Comments

[Muzhaos]

Обновился 3 дня назад - проблема не ушла. Сейчас как раз 6.11.

[Кирилл 1]

@Muzhaos обратите внимание на версию которую я предложил.... 6.12

[Сергей]

@SmileyK я что-то невсем понимаю. каким образом иметь возможность скачивать и видеть беты? я например по вашей ссылке вылетаю просто на страничку скачек

[Кирилл 1]

@edinorog я извиняюсь, но разработчики убрали из доступа 6.12RC1, :-( томик стартера стоит обратиться в support

[Кирилл 1]

@edinorog ссылка снова активная =)

[Сергей]

респект )

Answer 6

[Grims]

Коллеги, проблема с багом в 6.11, обновляйте до 6.13 (дата выхода 15-05-2014)


БЫЛО:
C:\Users\Test>ping yandex.ru -t
Обмен пакетами с yandex.ru [93.158.134.11] с 32 байтами данных:
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Статистика Ping для 93.158.134.11:
Пакетов: отправлено = 509, получено = 20, потеряно = 489 (96% потерь)
Приблизительное время приема-передачи в мс:
Минимальное = 2мсек, Максимальное = 3 мсек, Среднее = 2 мсек

C:\Users\Test>tracert 87.250.251.3
Трассировка маршрута к www.yandex.ru [87.250.251.3]
с максимальным числом прыжков 30:
1 <1 мс <1 мс <1 мс 172.100.100.1
2 * * * Превышен интервал ожидания для запроса.
3 * * * Превышен интервал ожидания для запроса.
4 1 ms <1 мс 1 ms 217.106.30.222
5 * * * Превышен интервал ожидания для запроса.
6 3 ms 3 ms 3 ms iva-p2-be5.yndx.net [87.250.239.19]
7 * * * Превышен интервал ожидания для запроса.
.....
30 * * * Превышен интервал ожидания для запроса.

СТАЛО:
C:\Users\Test>ping yandex.ru -t
Обмен пакетами с yandex.ru [93.158.134.11] с 32 байтами данных:
Ответ от 93.158.134.11: число байт=32 время=2мс TTL=56
Ответ от 93.158.134.11: число байт=32 время=2мс TTL=56
Ответ от 93.158.134.11: число байт=32 время=2мс TTL=56
Статистика Ping для 93.158.134.11:
Пакетов: отправлено = 3, получено = 3, потеряно = 0 (0% потерь)
Приблизительное время приема-передачи в мс:
Минимальное = 2мсек, Максимальное = 2 мсек, Среднее = 2 мсек

C:\Users\Test>tracert yandex.ru
Трассировка маршрута к yandex.ru [93.158.134.11]
с максимальным числом прыжков 30:
1 <1 мс <1 мс <1 мс 172.100.100.1
2 1 ms <1 мс <1 мс ххх.ххх.0.133
3 1 ms 1 ms <1 мс 217.107.215.217
4 * * * Превышен интервал ожидания для запроса.
5 * * * Превышен интервал ожидания для запроса.
6 * * * Превышен интервал ожидания для запроса.
7 1 ms 1 ms 1 ms ugr-b-c1-ae5.yndx.net [87.250.239.97]
8 2 ms 1 ms 1 ms yandex.ru [93.158.134.11]
Трассировка завершена.