Настройка ufw

[project_21]

Всем доброго дня!

Подскажите, что не так делаю.
Настроил ufw, запретил, все исходящие и входящие, затем открыл нужные мне порты.
После включения ufw не пропускает исходящий пинг. сам комп извне пингуется нормально. icmp, если не ошибаюсь, в before-rules, там всё по дефолту. ничего не трогал.
Что еще открыть нужно?

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

user@comp:~$ ping ya.ru
PING ya.ru (87.250.250.242) 56(84) bytes of data.
ping: sendmsg: Операция не позволена
ping: sendmsg: Операция не позволена
ping: sendmsg: Операция не позволена
ping: sendmsg: Операция не позволена
ping: sendmsg: Операция не позволена
^C
--- ya.ru ping statistics ---
5 packets transmitted, 0 received, 100% packet loss, time 4092ms

[mahinist]

После включения ufw не пропускает исходящий пинг

По форуму искали - ТЫЦ ?

[project_21]

Искал. Конкретно, ответа на свой вопрос не нашёл.
почти все близкие по смыслу темы закрыты или в архиве, поэтому открыл новую.

[kac]

выведи список правил

Код: [Выделить]

/etc/ufw/before.rules

[project_21]

выведи список правил

before.rules

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

#
# rules.before
#
# Rules that should be run before the ufw command line added rules. Custom
# rules should be added to one of these chains:
#   ufw-before-input
#   ufw-before-output
#   ufw-before-forward
#

# Don't delete these required lines, otherwise there will be errors
*filter
:ufw-before-input - [0:0]
:ufw-before-output - [0:0]
:ufw-before-forward - [0:0]
:ufw-not-local - [0:0]
# End required lines


# allow all on loopback
-A ufw-before-input -i lo -j ACCEPT
-A ufw-before-output -o lo -j ACCEPT

# quickly process packets for which we already have a connection
-A ufw-before-input -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-output -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-forward -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

# drop INVALID packets (logs these in loglevel medium and higher)
-A ufw-before-input -m conntrack --ctstate INVALID -j ufw-logging-deny
-A ufw-before-input -m conntrack --ctstate INVALID -j DROP

# ok icmp codes for INPUT
-A ufw-before-input -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-input -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-input -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT

# ok icmp code for FORWARD
-A ufw-before-forward -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type echo-request -j ACCEPT

# allow dhcp client to work
-A ufw-before-input -p udp --sport 67 --dport 68 -j ACCEPT

#
# ufw-not-local
#
-A ufw-before-input -j ufw-not-local

# if LOCAL, RETURN
-A ufw-not-local -m addrtype --dst-type LOCAL -j RETURN

# if MULTICAST, RETURN
-A ufw-not-local -m addrtype --dst-type MULTICAST -j RETURN

# if BROADCAST, RETURN
-A ufw-not-local -m addrtype --dst-type BROADCAST -j RETURN

# all other non-local packets are dropped
-A ufw-not-local -m limit --limit 3/min --limit-burst 10 -j ufw-logging-deny
-A ufw-not-local -j DROP

# allow MULTICAST mDNS for service discovery (be sure the MULTICAST line above
# is uncommented)
-A ufw-before-input -p udp -d 224.0.0.251 --dport 5353 -j ACCEPT

# allow MULTICAST UPnP for service discovery (be sure the MULTICAST line above
# is uncommented)
-A ufw-before-input -p udp -d 239.255.255.250 --dport 1900 -j ACCEPT

# don't delete the 'COMMIT' line or these rules won't be processed
COMMIT


ufw status

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

user@comp:~$ sudo ufw status verbose
Состояние: активен
Журналирование: on (low)
По умолчанию: deny (входящие), deny (исходящие), deny (маршрутизированные)
Новые профили: skip

В                          Действие    Из
-                          --------    --
137,138/udp                ALLOW IN    Anywhere                 
139,445/tcp                ALLOW IN    Anywhere                 
1947 on enp37s0            ALLOW IN    Anywhere                 
8167/udp on enp37s0        ALLOW IN    Anywhere                 
137,138/udp (v6)           ALLOW IN    Anywhere (v6)             
139,445/tcp (v6)           ALLOW IN    Anywhere (v6)             
1947 (v6) on enp37s0       ALLOW IN    Anywhere (v6)             
8167/udp (v6) on enp37s0   ALLOW IN    Anywhere (v6)             

80/tcp                     ALLOW OUT   Anywhere                 
443/tcp                    ALLOW OUT   Anywhere                 
53                         ALLOW OUT   Anywhere                 
993/tcp                    ALLOW OUT   Anywhere                 
3389/tcp                   ALLOW OUT   Anywhere                 
137,138/udp                ALLOW OUT   Anywhere                 
139,445/tcp                ALLOW OUT   Anywhere                 
22/tcp                     ALLOW OUT   Anywhere                 
1947                       ALLOW OUT   Anywhere on enp37s0       
8167/udp                   ALLOW OUT   Anywhere on enp37s0       
21/tcp                     ALLOW OUT   Anywhere                 
465/tcp                    ALLOW OUT   Anywhere                 
995/tcp                    ALLOW OUT   Anywhere                 
5651/tcp                   ALLOW OUT   Anywhere on enp37s0       
2264,2907,7442/tcp         ALLOW OUT   Anywhere                 
5652/tcp                   ALLOW OUT   Anywhere on enp37s0       
80/tcp (v6)                ALLOW OUT   Anywhere (v6)             
443/tcp (v6)               ALLOW OUT   Anywhere (v6)             
53 (v6)                    ALLOW OUT   Anywhere (v6)             
993/tcp (v6)               ALLOW OUT   Anywhere (v6)             
3389/tcp (v6)              ALLOW OUT   Anywhere (v6)             
137,138/udp (v6)           ALLOW OUT   Anywhere (v6)             
139,445/tcp (v6)           ALLOW OUT   Anywhere (v6)             
22/tcp (v6)                ALLOW OUT   Anywhere (v6)             
1947 (v6)                  ALLOW OUT   Anywhere (v6) on enp37s0 
8167/udp (v6)              ALLOW OUT   Anywhere (v6) on enp37s0 
21/tcp (v6)                ALLOW OUT   Anywhere (v6)             
465/tcp (v6)               ALLOW OUT   Anywhere (v6)             
995/tcp (v6)               ALLOW OUT   Anywhere (v6)             
5651/tcp (v6)              ALLOW OUT   Anywhere (v6) on enp37s0 
2264,2907,7442/tcp (v6)    ALLOW OUT   Anywhere (v6)             
5652/tcp (v6)              ALLOW OUT   Anywhere (v6) on enp37s0 

[kac]

попробуй добавить 2 этих правила в before.rules после блока правил # ok icmp code for FORWARD

Код: [Выделить]

# ok icmp code for OUTPUT
-A ufw-before-output -p icmp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
-A ufw-before-output -p icmp -m state --state ESTABLISHED,RELATED -j ACCEPT


[project_21]

попробуй добавить 2 этих правила в before.rules после блока правил # ok icmp code for FORWARD

Пинг пошел.
А вот трассировка, всё равно, не хочет:

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

user@comp:~$ traceroute ya.ru
traceroute to ya.ru (87.250.250.242), 30 hops max, 60 byte packets
send: Операция не позволена


[kac]

а ты пробовал работает ли с отключенным ufw все твои функции?

[project_21]

а ты пробовал работает ли с отключенным ufw все твои функции?

Естественно.
Пользователь добавил сообщение 17 Января 2020, 12:41:20:Кажется, понял.
tracerout, по умолчанию, через UPD работает.
Запустил его с опцией -I (через ICMP) - пошло.
Пользователь добавил сообщение 17 Января 2020, 12:47:26:kac, Спасибо, за подсказку!