Не могу понять почему DFL режет tracert
Стоит разрешающее правило LAN to WAN1 all_services (all_icmp, all_udp, all_tcp)

Однако когда на компьютере в командной строке даю команду tracert
в логах DFL следующее:

2007-09-24 08:44:49 Warning IP_PROTO 07000014 TTLOnLow ICMP lan
192.168.0.20 65хх.хх.хх ttl_low drop rev=1 ttl=1 ttlmin=3 ipdatalen=72 icmptype=ECHO_REQUEST echoid=512 echoseq=58882

Если нужен tracert, уменьшай TTL c 3 до 1. Но не рекомендовал бы, это позволит "умным" получить много дополнительной информации о твой сетке.

А можно по подробнее где это делается? И не понятно как получить инфо о сетке если со стороны WAN все закрыто.

Заходишь в System => Advanced Settings => IP Settings там ставишь TTL Min: 1 жмешь ок, и применяешь.

А как узнать это есть в нете.

не помогло! Поменял число 3 на 1.

Трассировка маршрута к ya.ru [87.250.251.8]
с максимальным числом прыжков 30:

1 * * * Превышен интервал ожидания для запроса.
2 * * * Превышен интервал ожидания для запроса.
3 * * * Превышен интервал ожидания для запроса.
4 * * * Превышен интервал ожидания для запроса.
5 * * * Превышен интервал ожидания для запроса.
6 * * * Превышен интервал ожидания для запроса.
7 * * ^C

В логах теперь на что ругается?

Вроде как пропускает, но трассировка не идет
2007-09-24 12:16:59 Info CONN 00600001 Allow_All ICMP lan wan1 192.168.0.20 213.180.204.8 conn_open rev=1 conn=open connsrcid=512 conndestid=512

трассировка на яндекс, а вот на www.ru:

2007-09-24 12:18:28 Info CONN 00600001 Allow_All ICMP lan wan1 192.168.0.20 194.87.0.50 conn_open rev=1 conn=open connsrcid=512 conndestid=512

тоже самое.

Allow_All - это группа которой разрешены все сервисы (all_icmp, all_udp, all_tcp)


Трассировка маршрута к ya.ru [213.180.204.8]
с максимальным числом прыжков 30:

1 * * * Превышен интервал ожидания для запроса.
2 * * * Превышен интервал ожидания для запроса.
3 * * * Превышен интервал ожидания для запроса.
4 * ^C
C:\Documents and Settings\admin>tracert www.ru

Трассировка маршрута к www.ru [194.87.0.50]
с максимальным числом прыжков 30:

1 * * * Превышен интервал ожидания для запроса.
2 * * * Превышен интервал ожидания для запроса.
3 * * * Превышен интервал ожидания для запроса.
4 * * * Превышен интервал ожидания для запроса.
5 * * * Превышен интервал ожидания для запроса.
6 * * * Превышен интервал ожидания для запроса.
7 191 ms 174 ms 174 ms www.ru [194.87.0.50]

Трассировка завершена.

Как выглядит само "разрешающее правило"?

Name Action SourceInterface SourceNetwork DestinationInterface DestinationNetwork Service

Allow_All NAT lan Unlimited wan1 all-nets all_services

Если правило только для трейса на DFL, то много лишнего. Сделай нечто вроде Allow LAN lan_net core All_core_addresses all_icmp.

core - обязательно
All_core_addresses - у меня это группа всех адресов на DFL.
Сейчас у меня нет под рукой своих настроек. Могу глянуть вечером. Но все работает. И TTL Min должен быть = 1.

Добавил правило:

Name Action SrsInt SrsNet DesInt DestNet Service
Allow_tracert Allow lan tracert core all-nets all_icmp

не работает, поменял Allow на NAT

Name Action SrsInt SrsNet DesInt DestNet Service
Allow_tracert NAT lan tracert core all-nets all_icmp

так же не работает.

а что за "MinSSL"? и где его искать?

Прошу прощения. Немного я сглючил (f/w что-ли обновить? ).

System -> Advanced Settings -> IP Settings -> TTL Min = 1

Собственно, у меня из всех правил, (а их не так много) за трейс может отвечать только это:

allow_standard NAT all_services lan lannet wan_all all-nets

Как видно, оно почти не отличается от первоначального вида, который появляется после срабатывания мастера первоначальной настройки. и трейс работает.

Трассировка работает на основе изминения TTL и ICMP ERR от хостов. На устройстве есть созданный сервис traceroute-udp, он используется в unix машинах, у них в качестве tracert используется udp. В win в качестве tracert используется ICMP. Для прохождения трассировки необходимо создать сервис ICMP с галкой allow icmp error messages и включить его в правила трассировки. Чтобы трассировался сам DFL, нужно создать правило к core/lan_ip

Станислав, при создании нового сервиса не могу найти галку "allow icmp error messages"