Не работает Traceroute через маршрутизатор

[Алексей Андриянов]

Есть Cisco 2811 в качестве пограничного маршрутизатора.

 

Она как-то криво пропускает через себя ICMP-пакеты tracerout-a. Так, например, вот что видит человек, трассирующий хост за WAN из LAN:

 

# traceroute ya.ru

traceroute: Warning: ya.ru has multiple addresses; using 87.250.251.8

traceroute to ya.ru (87.250.251.8), 30 hops max, 40 byte packets

1 192.168.0.1 (192.168.0.1) 0.969 ms 1.392 ms 1.639 ms

2 ###.###.###.### (###.###.###.###) 6.052 ms * *

3 cisco1.krasnodar.gldn.net (194.186.8.161) 139.643 ms * *

4 pe-l.krasnodar.gldn.net (194.186.10.93) 40.152 ms * *

5 * * *

6 * * p-l.Rostov-na-Donu.gldn.net (194.186.10.81) 37.214 ms

7 * p-l.Moscow.gldn.net (194.67.30.57) 46.119 ms *

8 pe-l.moscow.gldn.net (194.186.80.134) 56.654 ms * *

9 cat03.Moscow.gldn.net (194.186.158.193) 45.366 ms * *

10 cat02.moscow.gldn.net (195.239.10.190) 79.604 ms * *

11 * * *

12 ix2-m9.yandex.net (193.232.244.93) 137.516 ms * 198.609 ms

13 * * *

14 * ya.ru (87.250.251.8) 48.952 ms *

 

При этом сами пинги никуда не пропадают:

# ping ya.ru -fc 50

PING ya.ru (213.180.204.8) 56(84) bytes of data.

--- ya.ru ping statistics ---

50 packets transmitted, 50 received, 0% packet loss, time 700ms

rtt min/avg/max/mdev = 42.303/94.081/147.654/28.271 ms, pipe 12, ipg/ewma 14.300/66.818 ms

 

 

Вот что видит человек, трассирующий хост за LAN из WAN:

#traceroute 2.2.2.2

1 80.72.225.1 (80.72.225.1) 0.430 ms 0.314 ms 0.505 ms

2 80.72.224.122 (80.72.224.122) 4.829 ms 4.094 ms 3.839 ms

3 83.69.67.50 (83.69.67.50) 6.375 ms 5.958 ms 6.943 ms

4 83.69.67.54 (83.69.67.54) 8.917 ms 10.460 ms 7.842 ms

5 1.1.1.1 (1.1.1.1) 62.696 ms 44.746 ms 37.936 ms

6 1.1.1.1 (1.1.1.1) 17.511 ms !X * 12.124 ms !X

 

Здесь 2.2.2.2 - машина за cisco 2811, а 1.1.1.1 - IP самой 2811. то есть, в первый раз она отвечает нормально

ICMP: time exceeded (time to live) sent to 80.72.225.4 (dest was 2.2.2.2)

, а во второй - вместо того, чтобы отправить пакет дальше на 2.2.2.2, она отвечает

ICMP: dst (2.2.2.2) administratively prohibited unreachable sent to 80.72.225.4

 

(эти строчки я взял из debug ip icmp)

 

Простые пинги (а я так понимаю, что от Traceroute они отличаются только большим TTL) и в этом случае нормально проходят.

 

Ситуация не зависит от того, применяется NAT или нет, какие входные-выходные интерфейсы.

 

Я так подозреваю, что где-то в циске при прохождении пакета через нее TTL меняется более одного раза. У кого-нибудь есть идеи? Конфиг циски очень здоровый, так что выкладывать лучше буду частями, если захотите на что-то конкретно взялянуть, пишите.

 

Заранее благодарен за любую помощь.