Как разрешить ICMP-пинг на USG?

Как разрешить ICMP-пинг на USG?, UniFi Network

malcky

Guest

24.08.2017 08:58:00

Всем привет! Я только что подключил USG к своей сети, и, к моему удивлению, всё работает отлично с первого раза... по крайней мере, насколько я могу судить. Ещё есть кое-что, что нужно настроить, и тут мне нужна помощь. Уже много лет я пользуюсь сайтом thinkbroadband.com и настроил там мониторинг пинга, чтобы отслеживать, когда у меня пропадает интернет (а это связано с изменением IP). Но теперь, когда я пытаюсь создать монитор пинга, кажется, что роутер (USG) не отвечает на пинги... а сайт пишет, что нужно убедиться, что роутер способен принимать ICMP-пакеты. Кто-нибудь может объяснить, что мне нужно сделать, чтобы это заработало? Раньше мне не приходилось ничего настраивать на других роутерах. Спасибо!

VWT-Dan Guest	#2 13.03.2018 14:04:00 @frasermcd Широковещательные пинги — это не то же самое, что уникаст-пинг на внешний адрес роутера, который нужен автору поста.

jamesingram Guest	#3 13.03.2018 07:29:00 Будет ли разрешено USG отвечать на пинг, или нужно, чтобы внутри сети постоянно работал компьютер?

bjtaylor5044 Guest	#4 21.02.2018 21:41:00 Вот что я и думал, но это не сработало. Единственным вариантом, который у нас сработал на USG, был Echo request / Echo reply.

cspacone

Guest

06.06.2018 20:24:00

Danilfre, это сработало идеально. UBNT — это должно быть закреплено или добавлено в раздел часто задаваемых вопросов. Конечно, это не всегда нужно, но сейчас мне это было необходимо, и искать это самому оказалось совсем не удобно. -Крис

lokamaya Guest	#6 22.11.2021 12:52:00 Это работает у меня. USG 4.4.56, Unifi Controller 6.5.53.0.

highintensity

Guest

28.11.2020 18:02:00

Я обновил свои внутренние инструкции и подумал, что они могут пригодиться здесь. Также я отправил комментарий в UniFi с рекомендацией обновить их документацию для текущих контроллеров — UDM/USG Firewall: Как включить ICMP на WAN-интерфейсе. (https://help.ui.com/hc/en-us/articles/115003146787-UniFi-How-to-Disable-ICMP-over-WAN-with-USG-)

Добавьте сервис DDNS — Dynamic DNS (если у вас DHCP WAN или нужны дополнительные подключения)
Настройки — сервисы — Dynamic DNS
Создайте новый Dynamic DNS
Выберите WAN или WAN2
Сервис: DynDns (пример)
Хост: Unifi-ClientName.dyndns.biz (пример)
Пользователь: MyAccount (пример)
Пароль: 4MyPassword (пример)

Добавьте свой вариант мониторинга WAN (я использую https://uptimerobot.com/)

Сделать WAN доступным по пингу: перейдите в Настройки > Безопасность Интернета > Раздел Фаервола в контроллере UniFi и выберите вкладку WAN Local.

Нажмите Создать правило
ПРАВИЛО-1
Тип: WAN Local
Имя: Ping - Echo Request
Включено: Да
Применение правила: До предустановленных правил
Действие: Разрешить
Протокол IPv4: ICMP
Опция "Соответствовать всем протоколам, кроме этого": снята
Тип ICMP IPv4: Echo Reply (выпадающий список)
Дополнительно (по умолчанию)
─ Логирование — выключено
─ Состояния (New, Established, Invalid, Related) — все выключены
─ IPsec — не совпадать с IPsec-пакетами
Источник: (Опционально, группа адресов/портов) — включено
Назначение: (Опционально, группа адресов/портов) — включено
Сохранить

Нажмите Создать правило
ПРАВИЛО-2
Тип: WAN Local
Имя: Ping - Echo Reply
Включено: Да
Применение правила: До предустановленных правил
Действие: Разрешить
Протокол IPv4: ICMP
Тип ICMP IPv4: Echo Request
Дополнительно (по умолчанию)
─ Логирование и состояния — все выключены
─ Не совпадать с IPsec-пакетами
─ Соответствовать всем протоколам, кроме этого — снято
Источник: (Опционально, группа адресов/портов)
Назначение: (Опционально, группа адресов/портов)
Сохранить

Зайдите в Routing & Firewall -> Firewall -> Settings
Включите опцию Broadcast Ping на странице.

MBarlowTCS Guest	#8 10.08.2020 14:33:00 Я создал эти два правила, и они отлично сработали... спасибо!

jonasubnt Guest	#9 10.03.2020 08:58:00 Для меня единственный способ, чтобы это работало — решение с двумя правилами. Просто одно правило, разрешающее ICMP (любой ICMP) на WAN-Local, недостаточно для того, чтобы это функционировало.

danilfre Guest	#10 13.03.2018 20:16:00 Нет, чтобы быть в вашей сети, вам не нужен компьютер.

jedimstr

Guest

#11

23.02.2020 13:13:00

Странное поведение: с этими настройками я могу пинговать свой шлюз из внешней сети, но любые пинги к моему динамическому DNS-имени внутри локальной сети приводят к тайм-аутам/потерям. Я проверял это на телефоне: когда выключал Wi-Fi, пинг до моего хоста проходил — работает через LTE, а при включённом Wi-Fi пинги не идут.

Причина, по которой я хочу пинговать свой WAN IP изнутри LAN, — у меня есть устройство, которое перезагружает мой FiOS ONT, если пинг не проходит. С 1.1.1.1 всё работает нормально, но тогда ONT не перезагружается, когда у меня активен WAN2.

Желаемое поведение — пинговать WAN1, и если FiOS падает, переключаться на WAN2, пока ONT перезагружается, а затем обратно на WAN1.

daviddame

Guest

#12

18.02.2020 06:59:00

Я создал новое правило только для WAN Local и поместил его в начало набора правил. После применения ответы начали поступать.
Название правила: Allow ICMP
Применено: Перед предопределенными правилами
Действие: Разрешить
IPv4 протокол: ICMP

doylecentral Guest	#13 29.01.2020 14:20:00 Я смог использовать WAN Local, Any. Мне пришлось внизу выбрать сеть и для источника, и для назначения — к шлюзу. Думаю, стоит поделиться, раз пост хороший.

bjtaylor5044 Guest	#14 13.03.2019 03:11:00 Нет... логично, что именно так должно работать, но пока вы не включите правило брандмауэра в WAN local, это не заработает.

spacemonkey2 Guest	#15 11.10.2018 10:58:00 Вот и всё, спасибо @NYCP К тому же, метод UBNT сработал всего с одним правилом https://help.ubnt.com/hc/en-us/articles/115003146787-UniFi-USG-Firewall-How-to-Enable-ICMP-over-WAN

CraneTech Guest	#16 11.10.2018 08:36:00 @spacemonkey2 Ты уверен, что создаёшь правило именно для WAN local?

spacemonkey2

Guest

#17

11.10.2018 02:57:00

UBNT выложила руководство по этому вопросу: https://help.ubnt.com/hc/en-us/articles/115003146787-UniFi-USG-Firewall-How-to-Enable-ICMP-over-WAN. Но одно правило у меня не сработало. Да и два правила, которые тут упоминаются, тоже. Я просто хочу использовать сервис вроде uptimerobot, чтобы мониторить своё интернет-соединение. Что мне нужно сделать, чтобы это заработало? Нужно ли пересылать PING-запросы на какую-то машину внутри моей сети?

BIGNYCP Guest	#18 28.09.2018 18:20:00 Подтверждаю здесь тоже, 2 правила.

BigusDickus Guest	#19 29.06.2018 18:42:00 Мы тоже это пробовали, но не сработало. Что сработало — так это создание двух правил: одного для разрешения ICMP Echo, и одного для разрешения ICMP Echo Request и ICMP Echo Reply (как описал выше Danilfre). Спасибо!

RobbieH Guest	#20 06.06.2018 20:54:00 Я живу в очень маленьком городе, где работает мелкий провайдер. Им нравится мониторить время работы, хотя они в курсе, что у меня сложная настройка и я люблю «использовать собственный продукт». У меня два провайдера, так что если у одного что-то отвалится, мне особо пофиг, разве что на несколько дней. Короче, чтобы разрешить пинг, я создал новое правило для WAN Local и поставил его в начало списка правил. Вот настройки, которые я выбрал, идя по порядку: Правило применяется: Перед предопределёнными правилами Действие: Принять Протокол IPv4: ICMP Для источника я хотел, чтобы пинговать мог только их оборудование, поэтому создал группу адресов, выбрал этот селектор, а в выпадающем списке IPv4 Address Group выбрал их группу. Назначение тоже стоит как Address/Port group, но там выбрано «Any».

Читают тему (гостей: 1)