ping и traceroute не работают, если UFW по умолчанию запрещает исходящие сообщения

Как заставить работать ping и traceroute после настройки UFW с помощью deny outgoing по умолчанию?

Вот моя конфигурация UFW:

sudo ufw status verbose
Status: active
Logging: on (low)
Default: deny (incoming), deny (outgoing), disabled (routed)
New profiles: skip

To                         Action      From
--                         ------      ----
123/udp                    ALLOW IN    Anywhere
80/tcp                     ALLOW IN    Anywhere
443/tcp                    ALLOW IN    Anywhere
123/udp (v6)               ALLOW IN    Anywhere (v6)
80/tcp (v6)                ALLOW IN    Anywhere (v6)
443/tcp (v6)               ALLOW IN    Anywhere (v6)

53                         ALLOW OUT   Anywhere
80/tcp                     ALLOW OUT   Anywhere
443/tcp                    ALLOW OUT   Anywhere
587/tcp                    ALLOW OUT   Anywhere
123/udp                    ALLOW OUT   Anywhere
53 (v6)                    ALLOW OUT   Anywhere (v6)
80/tcp (v6)                ALLOW OUT   Anywhere (v6)
443/tcp (v6)               ALLOW OUT   Anywhere (v6)
587/tcp (v6)               ALLOW OUT   Anywhere (v6)
123/udp (v6)               ALLOW OUT   Anywhere (v6)

Вот результаты ping и traceroute:

ping google.com
PING google.com (173.194.121.34) 56(84) bytes of data.
ping: sendmsg: Operation not permitted

traceroute google.com
traceroute to google.com (173.194.121.34), 30 hops max, 60 byte packets
send: Operation not permitted

Я нашел этот пост (http://www.kelvinism.com/2010/09/enable-icmp-through-ufw_461.html), который рекомендует добавить эти строки в /etc/ufw/before.rules:

# allow outbound icmp
-A ufw-before-output -p icmp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
-A ufw-before-output -p icmp -m state --state ESTABLISHED,RELATED -j ACCEPT

Кажется, работает для ping, но не для traceroute. Любая идея?

Спасибо

Это сработало для меня:

ufw allow out to any port 33434:33524 proto udp

Мне пришлось использовать sudo для traceroute и -I вариант (Use ICMP ECHO for tracerouting):

sudo traceroute google.com -I

Для traceroute необходимо разрешить исходящие UDP-пакеты в диапазоне 33434: 33524. Некоторые инструменты также позволяют использовать эхо-запросы ICMP. Поскольку у вас работает PING, вы должны включить пакеты эхо-запросов ICMP.

Ответные пакеты будут в основном пакетами ICMP с превышением времени. Если вы включили требуемые типы ICMP, вам не нужно ничего настраивать.

Предложите разрешить более широкий ответ ICMP.

-A ufw-before-input -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-input -p icmp --icmp-type source-quench -j ACCEPT
-A ufw-before-input -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-input -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT