Не пингуются внешние адреса с клиентских машин (Mikrotik)

Он тоже есть, и работает. Говорю же - интернет с клиентских машин работает исправно. Сейчас вот с рабочего компа пишу. Не работает именно пинг, хочется разобраться почему. Из за того, что пинг не работает DNS сервер обходит все, кроме микротика (так как считает, что другие публичные днс сервера не отвечают). А нужно, чтобы в сети был только один DNS сервер.

Извините, прочитал невнимательно.

На Микротике настроена передача ICMP?
Нужны два правила: одно на приём, второе на перенаправление.

Если из консоли то будет примерно так:
/ip firewall filter
add chain=input protocol=icmp action=accept
add chain=forward dst-to-address="192.168.0.0/24" protocol=icmp action=accept

Если у вас есть правило блокирования неучтённого трафика - drop all, то оно должно быть последним в списке.

Хм, не помогает. Прием ICMP у меня есть, а вот второе правило перенаправления отсутствует. И добавить тоже не получается, так как "dst-to-address" не понимает. Перерыл весь графический интерфейс - тоже не нашел ничего подобного в правилах фаервола. Такое есть только в действиях NAT. Может что то еще посоветуете?

В гугле рекомендуют добавить следующие правила:
add chain=forward action=accept protocol=icmp icmp-options=0:0
add chain=forward action=accept protocol=icmp icmp-options=3:0
add chain=forward action=accept protocol=icmp icmp-options=3:1
add chain=forward action=accept protocol=icmp icmp-options=4:0
add chain=forward action=accept protocol=icmp icmp-options=8:0
add chain=forward action=accept protocol=icmp icmp-options=11:0
add chain=forward action=accept protocol=icmp icmp-options=12:0
icmp

Я попробовал сварганить что то такое:
i33.fastpic.ru/big/2014/0410/f6/61e0b204a2ccd44f9e...
Не помогло. Сейчас добавлю то, что Вы нагуглили :)

В принципе это одно и тоже, но с дополнительными параметрами icmp-options.

Эти правила должны быть первыми в списке?

Хм... Такой прикол теперь: При попытке пинга с клиентской машины (со своего рабочего компа) идут пакеты по вот этому правилу - add chain=forward action=accept protocol=icmp icmp-options=8:0, но пинг по прежнему "Превышен интервал ожидания для запроса"... Хотя пакеты там идут, только когда пытаюсь пинговать.

Это значит что пакеты выходят, но Mikrotik не пускает ответ.
Мне всё таки кажется что не прописано (или не правильно прописано) это правило:
add chain=input protocol=icmp action=accept

Сейчас попробую его еще раз прописать. Что то, после добавления такого количества правил стал грузиться проц под 90%

@Muzhaos ip->firewall покажите пожалуйста, ну и нат тоже. по идее достаточно маскарадинга.

@Cram это правило только дял пинга самого микротика. нам же нужен по сути маскарадинг на наружку и всё.

i57.fastpic.ru/big/2014/0411/ae/a938aa03f872109c95...
Вот все правила которые там есть.

@nimbo Есть что то примечательное в правилах?

@Muzhaos, первые два правила это и есть пропуск Established, Connected? Как у вас называется "внутренний интерфейс" ? что за бардак вы там развели? оставляете те правила, которые я предлагал в другой ветке комментариев. и добавляете следующее: /ip firewall filter add chain=forward disabled=no in-interface=XXX-XXX action=accept
Где XXX-XXX - вас "внутренний" ифейс. Всё, что у вас наговнякано с цепочке forward про ICMP - можете удалить.

Таким образом вы получите прохожление любого трафика изнутри сети наружу. И обратного в случае если соединение было инициировано изнутри вашей сети.

Не понял как отредактировать свой комментарий. "Established, Connected" читать как "established, related".

@g3fox Эти цепочки были пробными, их предложил @Cram по поиску в гугле, они уже удалены. Первое правило - это пропуск icmp. Второе Established, третье related. Все остальное на данный момент банальная блокировка соц сетей, вот скрин i59.fastpic.ru/big/2014/0411/8e/e8d660b4353cdad750...
Последнее правило drop invalid. Пробовал отключать все и оставлять только разрешающие правила - эффекта не было. Уже больше всего грешу на глюк микротика, так как уже было много обновлений с момента покупки. Сравнил правила со своим домашним (у меня дома такая же моделька стоит), выставлял правила так же, как выставленно там - тоже без эффекта. Хотя дома пинг идет. Либо микротик глючит, либо что то еще режет эти пакеты... Не знаю пока что думать.

@g3fox "Не понял как отредактировать свой комментарий. "Established, Connected" читать как "established, related"."
Я так и понял)

@g3fox Кстати еще обратил внимание, что через маскарад идет очень маленький трафик. Не уверен что так и было раньше. По скрину (который я выложил выше) видно, что из внутренней сети, с момента последнего перезапуска, через микротик прошло 18 гб из внутренней сети, а через маскарад только 4мб. Или так и должно быть?

@Muzhaos, нет, не должно быть так. по-возможности, вместо скринов используйте команду^
/ip firewall export

/ip firewall nat
add action=masquerade chain=srcnat comment="\CC\E0\F1\EA\E0\F0\E0\E4" \
out-interface=ether1-gateway protocol=tcp
add action=masquerade chain=srcnat comment="default configuration" disabled=yes \
out-interface=ether1-gateway protocol=tcp
add action=masquerade chain=srcnat comment="default configuration" disabled=yes \
out-interface=wlan1

@g3fox вот экспорт NAT. Перенаправления не стал выкладывать, там дальше просто dst-nat до пункта назначения.

/ip firewall filter
add chain=input comment="default configuration" protocol=icmp
add chain=input comment="default configuration" connection-state=established
add chain=input comment="default configuration" connection-state=related
add chain=input comment="Mail Accept" dst-port=25 protocol=tcp
add chain=input comment="********" dst-port=**** protocol=tcp
add action=reject chain=input comment="Port Scan Block" connection-state=new \
in-interface=ether1-gateway protocol=tcp reject-with=icmp-port-unreachable
add action=reject chain=input comment="Port Scan Block" in-interface=\
ether1-gateway protocol=tcp tcp-flags=fin,syn,ack
add action=drop chain=input comment="default configuration" in-interface=\
ether1-gateway
add action=drop chain=forward comment="Block https://vk.com" content=\
"\"Host: vk.com:443\"" in-interface=bridge-local protocol=tcp \
src-address-list=!NotBlock
add action=drop chain=forward comment="Block VK.com" content="\"Host: vk.com\"" \
in-interface=bridge-local protocol=tcp src-address-list=!NotBlock
add action=drop chain=forward comment="Block Odnoklassniki" content=\
"\"Host: odnoklassniki.ru\"" in-interface=bridge-local protocol=tcp \
src-address-list=!NotBlock
add action=drop chain=forward comment="Block Https odnoklassniki" content=\
"\"Host: https://odnoklassniki.ru\"" in-interface=bridge-local protocol=tcp
add action=drop chain=forward comment="Block Facebook https" content=\
"\"Host: facebook\"" in-interface=bridge-local protocol=tcp \
src-address-list=!NotBlock
add action=drop chain=forward comment="Block Facebook" content=\
"\"Host: facebook.com\"" in-interface=bridge-local protocol=tcp \
src-address-list=!NotBlock
add chain=forward comment="default configuration" connection-state=established
add chain=forward comment="default configuration" connection-state=related
add chain=forward icmp-options=8:0 protocol=icmp
add chain=forward in-interface=bridge-local protocol=gre
add action=drop chain=forward comment="default configuration" connection-state=\
invalid
add chain=input disabled=yes protocol=icmp
add chain=forward disabled=yes dst-address=0.0.0.0 protocol=icmp src-address=\
192.168.0.0/24
add chain=input disabled=yes dst-port=8080 in-interface=bridge-local protocol=\
tcp src-port=8080
add chain=input disabled=yes protocol=icmp

Вот экспорт фильтров.

@Muzhaos У вас маскарадится только tcp!

Хм.. На домашнем пк тоже только tcp, но пинг идёт. На какие протоколы нужно ещё маскарад включить? Icmp, udp?

@g3fox ну надо же) добавил маскарад на все протоколы - заработало) Спасибо!

@Muzhaos я, пожалуй, застрелюсь)) я дочитал ваше всё до конца))

@nimbo ну извини, тупанул)

@Muzhaos, Уберите вообще упоминание протокола.

@g3fox я так и сделал) это и есть сразу на все :) единственное, что я не понял - это как оно изменилось только на tcp, потому как я его точно не менял и к роутеру ни у кого больше доступа нет... Могло какое либо обновление так накосячить? Обновлялся я довольно часто.

Хм, не должно было повлиять. Формат командной строки для этих правил, вроде, не менялся. Но всё возможно... Скорее всего это человеческий фактор :)