вот тут , смотрю, все таки сначала через DST-NAT трафик идет, потом в инпут..

может c ICMP как то не так

может c ICMP как то не так

А зачем трафик маркировать для дстната?

А зачем трафик маркировать для дстната?

ну уже после безуспешных попыток отхватить натом размер пакета, я стал маркировать

ну уже после безуспешных попыток отхватить натом размер пакета, я стал маркировать

а размер пакетов зачем менять?

вообще, ICMP даже в цепочке input делется, но до dstnat не доходит

а размер пакетов зачем менять?

чтобы была возможность как сам роутер проверить, так и устройство за ним

но даже если от этого отойти, то не получается натить icmp трафик

чтобы была возможность как сам роутер проверить, так и устройство за ним

ну ты сперва добейся чего хотел, а потом уже будешь выпендриваться с размерами. а то полез и размеры менять и маркировки ваять и дошел до того что icmp у тебя ходит в обход пакет трасерта

/ip firewall nat add action=dst-nat chain=dstnat in-interface-list=WAN protocol=icmp to-addresses=1.2.3.4

вот это должно по идее работать

когда заработает можно будет уже мудрить с размерами

окей.. упрощаю вопрос: "Как пробросить ICMP трафик"

Добрый, день, подскажите есть ли возможность пропинговать устройство за натом?

собственно с чего и начал

выше правило попробуй

в самом верху

счетчик тикает?

нет, пинги идут

значит правило не срабатывает

пингаешь снаружи?

ну с VPN если быть точнее

вот правило.. в самом верху

еще и нетмап

это прям бинго какое то

ну с VPN если быть точнее

дай угадаю, у тебя в впн маршрутизация, а не натирование

зачем в впн НАТ?

чтоб не прописывать обратный машрут

зачем в впн НАТ?

Чтобы чтобы не заморачиваться пробросить кучи сетей, там за Натом пара устройств

т.е. НАТ в впн там есть?

Чтобы конфигурация была универсальней

т.е. НАТ в впн там есть?

Маскараднинг там в vpn

проброс icmp за нат , то еще извращение

поменяй экшен на дстнат христом богом прошу

Да разница.. менял

проброс icmp за нат , то еще извращение

Есть другое решение?

нет его и не предпологается , нет у icmp портов

Не пробрасывая сеть, не Влазия в устройство, поверить его работу?

Но чувствую придется поднимать там веб сервер, чисто для тестов

надо на хосты за натом чтото ставить что будет отсылать о себе информацию

Не пробрасывая сеть, не Влазия в устройство, поверить его работу?

IPv6

или убрать нат и сделать маршрутизацию нормальную

Проблема, что устройств много.. ради этой фигни нарезать 100 сетей.. проще уже веб сервер туда запилить

или таки делать правила dst нат под размер пакета

Просто думал обойтись малой кровью

zabbix за нат поставь

и там себе мониторь

или таки делать правила dst нат под размер пакета

Да, но не пробрасываются icmp

zabbix за нат поставь

Ну что-то надо думать

Не пробрасывая сеть, не Влазия в устройство, поверить его работу?

обычно просто нетвачем пингается девайс и алерты высылаются хоть на почту хоть в телегу хоть по смс

Да, но не пробрасываются icmp

Dstnat udp=(port) dstnat udp=1 ip= ….

Dstnat udp=(port) dstnat udp=1 ip= ….

Немного не понял

Да, но не пробрасываются icmp

толкьо что проверил, отлично icmp пробрасывается

Я сам не понял )

инструмент пинг умеет по udp опрашивать

толкьо что проверил, отлично icmp пробрасывается

ему на 100 устройств надо

ему на 100 устройств надо

Через 22 по ансамбле

ну это маразм конечно. но думаю можно размером задать и 1000 устойств

ну это маразм конечно. но думаю можно размером задать и 1000 устойств

Микротик и 10к съест

ну вот у него чето не выходит , он или замер в тулзе ping неверно указывает или на микроте не то настраивает

если там есть ВПН то почему нет связности отдельный вопрос

это может быть сеть заказчика , там и два нат с обоих концов не редкость

с каких пор НАТ стал мешать проходу icmp ?

с каких пор НАТ стал мешать проходу icmp ?

то не про проход , то про "не палим адресацию своих сетей"

или сети таки совпадают у обоих %)

Сети не спалил, зато спалился в употреблении лёгких наркотиков )

или сети таки совпадают у обоих %)

Все норм и односетки пройдет если админ в норме

отвлекся кофе попить..

Сети не спалил, зато спалился в употреблении лёгких наркотиков )

все такие правильные

Icmp в общем нужно запрещать в своих сетях - это тренд современности

На правильность не претендую, но мне реально непонятно почему впн есть, пусть и с маскарадом, но нет связности и надо что то пробрасывать

не правильный подход, ненадо запрещать, надо правильно настраивать

не правильный подход, ненадо запрещать, надо правильно настраивать

Я про ИБ

Icmp в общем нужно запрещать в своих сетях - это тренд современности

за такой тренд вас ждет отдельный котел

Я про ИБ

по ИБ , как раз и отсекают вредные icmp и полезные

"все запретить" это какое то деграданское ИБ

"все запретить" это какое то деграданское ИБ

Исмп - это еще не все, А если все -то нужно сетевиков звать ))

там длинный список

Так, снова. Есть сервер, есть подключенный по VPN удаленный микротик. Есть пинг между сервером и удаленным микротиком

Мне нужно чтобы на пинг ответило устройство за натом

другие порты на устройтва пробрасываются.