http://mikrotik.moscow Новое в теме Сделать ответы ICMP с входного интерфейса форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Sat, 01 Aug 2026 07:40:08 -0400 Сделать ответы ICMP с входного интерфейса RouterOS в форуме RouterOS.
Действительно. Я думаю, что маловероятно, что какая-то реальная ситуация сломается, если этот параметр жестко зашит в значение «1» (особенно учитывая, что «основной интерфейс» не очень четко определён), но можно сделать его дополнительным параметром в /ip/settings, чтобы исключить любые риски. Один из факторов, мешающих решению через маркировку, — это то, что пакет может иметь только одну метку, а я уже использую её для приоритета. Судя по всему, в версии 7 планируют разрешить несколько меток пакета (например, 4 «группы меток пакетов»), как это возможно в ядре Linux, но реализация ещё не завершена. Также в моём случае проблему решило бы разрешение использовать «приоритет пакета» в качестве селектора очереди в queue trees вместо «метки пакета». Это, скорее всего, было бы эффективнее. В данный момент я делаю так: сначала устанавливаю приоритет пакета из старших бит DSCP, затем ставлю 8 меток пакетов в mangle в зависимости от приоритета, а потом в queue tree выбираю из 8 очередей на основе метки пакета. Но выбрать очередь по приоритету пакета было бы намного проще, к тому же метка пакета была бы свободна для разных ухищрений с несколькими шлюзами (сейчас для этого использую routing mark).
13.08.2023 20:34:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419891 http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419891 Sun, 13 Aug 2023 20:34:00 -0400 RouterOS Сделать ответы ICMP с входного интерфейса RouterOS в форуме RouterOS.
Никогда не думал об этом, но я никогда не видел PMTUD в межсетевом экране… Наверное, это происходит в ядре? Я заметил, что pref-src= ведёт себя по-разному на V6 и V7, по крайней мере с VRRP… так что не уверен, что оно всегда применяется во всех случаях. Mangle может исправить VRRP, но только если трафик проходит через firewall… Кажется, net.ipv4.icmp_errors_use_inbound_ifaddr должна быть настройкой, как rp-filter и другие параметры ядра в /ip/settings… При этом по умолчанию она могла бы быть 0, чтобы не сломать что-то, что рассчитывает на прежнее поведение. Но да, что значит «основной интерфейс» в RouterOS — похоже, это неопределённо (что и отражает icmp_errors_use_inbound_ifaddr=0)…
13.08.2023 18:12:00, Amm0.]]> http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419890 http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419890 Sun, 13 Aug 2023 18:12:00 -0400 RouterOS Сделать ответы ICMP с входного интерфейса RouterOS в форуме RouterOS.
Речь идёт не о входящем и маршрутизируемом ICMP-трафике, а о ICMP-трафике, который генерируется самим маршрутизатором в ответ на него! Трафик входит в маршрутизатор, TTL уменьшается до нуля или адрес назначения недоступен, либо фаервол отклоняет трафик — в таком случае назад отправляется ICMP, но этот трафик создаёт сам маршрутизатор, и он не проходит через цепочку «output» (по крайней мере, любые пометки маршрута, сделанные там, на него не влияют), а также он не подчиняется обычным правилам выбора исходного адреса. Это можно изменить, установив соответствующий параметр.
13.08.2023 17:39:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419889 http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419889 Sun, 13 Aug 2023 17:39:00 -0400 RouterOS Сделать ответы ICMP с входного интерфейса RouterOS в форуме RouterOS.
Если мы используем статические маршруты, а не BGP, то НАДО помечать входящий трафик, чтобы убедиться, что он выходит через тот же интерфейс. Так что здесь я вообще не вижу никаких проблем.
12.08.2023 20:40:00, DarkNate.]]> http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419888 http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419888 Sat, 12 Aug 2023 20:40:00 -0400 RouterOS Сделать ответы ICMP с входного интерфейса RouterOS в форуме RouterOS.
Нет.
12.08.2023 16:13:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419887 http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419887 Sat, 12 Aug 2023 16:13:00 -0400 RouterOS Сделать ответы ICMP с входного интерфейса RouterOS в форуме RouterOS.
Pelchi, ты хочешь сказать, что внешний входящий ICMP-трафик может уйти обратно через неправильный роутер, даже если мы помечаем входящий трафик?
12.08.2023 14:39:00, anav.]]> http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419886 http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419886 Sat, 12 Aug 2023 14:39:00 -0400 RouterOS Сделать ответы ICMP с входного интерфейса RouterOS в форуме RouterOS.
Он игнорирует pref-src. Pref-src настроен правильно, но используется неправильный адрес. Это в некотором роде объясняет, почему маркировка пакетов с помощью mangle и route-marking тоже не работает. Пакеты, по-видимому, генерируются другим механизмом, а не через «output». Конфигурация с несколькими маршрутными таблицами. Трафик приходит через туннель, который прописан в правилах маршрутизации, и маршрут обратно содержит pref-src, но ответ ICMP всё равно отправляется с публичного IP, а не с адреса туннеля или другого локального адреса оверлейной сети. И это ожидаемо без этой настройки. Как объяснено выше, это можно исправить, добавив в sysctl.conf строку: net.ipv4.icmp_errors_use_inbound_ifaddr = 1
12.08.2023 14:21:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419885 http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419885 Sat, 12 Aug 2023 14:21:00 -0400 RouterOS Сделать ответы ICMP с входного интерфейса RouterOS в форуме RouterOS.
Странно, когда я запускаю трассировку, в ответах вижу ожидаемый маршрут. Я что-то упускаю? Если только вы неправильно не изменили pref-src через фильтры маршрутов (для полных таблиц BGP) или вручную для статических маршрутов/двойного/тройного WAN. Я всегда проверяю, чтобы маршруты, полученные через интерфейс A, имели pref-src, совпадающий с IP этого интерфейса A. То же самое для интерфейса B. Такую проблему никогда не встречал.
12.08.2023 14:11:00, DarkNate.]]> http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419884 http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419884 Sat, 12 Aug 2023 14:11:00 -0400 RouterOS Сделать ответы ICMP с входного интерфейса RouterOS в форуме RouterOS.
Это хороший пример того, почему аргумент «Сотрудники MikroTik не обязательно читают все темы здесь. Если хотите, чтобы они это заметили, нужно писать в поддержку» — полный бред. Я указал на эту тему в январе 2023 как SUP-103754, в марте 2023 получил ответ: «Большое спасибо за указание. Мы посмотрим, что можно сделать», а в мае 2023 её закрыли с отметкой «Выполнено». Но НИЧЕГО НЕ ИЗМЕНИЛОСЬ. Всё ещё нет нужной настройки, поведение осталось прежним.
10.08.2023 20:49:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419883 http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419883 Thu, 10 Aug 2023 20:49:00 -0400 RouterOS Сделать ответы ICMP с входного интерфейса RouterOS в форуме RouterOS.
+1 за то, чтобы сделать это настраиваемой опцией!
08.07.2019 14:04:00, muetzekoeln.]]> http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419882 http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419882 Mon, 08 Jul 2019 14:04:00 -0400 RouterOS Сделать ответы ICMP с входного интерфейса RouterOS в форуме RouterOS.
Официальное оправдание: это всего лишь пользовательский форум, и сотрудники MikroTik не обязательно читают каждую тему здесь. Если хотите быть уверены, что они это увидят, нужно писать в службу поддержки.
06.07.2019 19:16:00, Sob.]]> http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419881 http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419881 Sat, 06 Jul 2019 19:16:00 -0400 RouterOS Сделать ответы ICMP с входного интерфейса RouterOS в форуме RouterOS.
Поднимаю этот вопрос снова, потому что до сих пор не понимаю, почему это не реализовано. При использовании логина “devel” и настройке echo 1 > /proc/sys/net/ipv4/icmp_errors_use_inbound_ifaddr видно, что всё работает, и никаких проблем с ядром из-за кастомного кода MT или чего-то подобного нет. Пожалуйста, дайте ответ, почему это, например, не реализовано в ip->settings.
06.07.2019 15:20:00, shyrwall.]]> http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419880 http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419880 Sat, 06 Jul 2019 15:20:00 -0400 RouterOS Сделать ответы ICMP с входного интерфейса RouterOS в форуме RouterOS.
Я устал от того, что RouterOS ведёт себя иначе, чем любой другой роутер на рынке. Ответы на ICMP ошибки должны отправляться с того же интерфейса, который получил ICMP-запрос. Без этого трассировка до чего-то, что проходит через оборудование RouterOS и имеет несколько подключений к разным провайдерам, бессмысленна. Я просто прошу RouterOS вести себя как любой другой роутер на рынке. Не может быть, чтобы это было так сложно. Поскольку под капотом у RouterOS Linux, эта функция уже должна быть доступна, если только Mikrotik не удалили этот код из ядра. http://linuxinsight.com/proc_sys_net_ipv4_icmp_errors_use_inbound_ifaddr.html «Такое поведение — то, чего многие сетевые администраторы ожидают от роутера. И это действительно упрощает отладку сложных сетевых схем». Да... Сделайте это стандартным, чтобы роутер вел себя как обычно, или хотя бы добавьте галочку в /ip settings. Пожалуйста...
15.03.2018 06:22:00, shyrwall.]]> http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419879 http://mikrotik.moscow/forum/forum57/87737-sdelat-otvety-icmp-s-vkhodnogo-interfeysa/message419879 Thu, 15 Mar 2018 06:22:00 -0400 RouterOS