Re: [sisyphus] Видеоконференция и iptables

["Шенцев Алексей Владимирович" <ashen@nsrz.ru>]

В сообщении от 5 июля 2006 17:38 Andrii Dobrovol`s`kii написал(a):
> Алексей, Ваше решение масштабируется на более чем один телефон?
> Скажем если Вам нужно вызывать из мира десяток разных абонентов?
Я получил конкретное решение для одного аппарата, находящегося за iptables и 
имеющего ip-адрес из диапазона 192.168.x.x . Если будет больше аппаратов, с 
которыми надо связываться из интернета и находящимися за iptables, то решение 
скорее всего будет иным. Я думаю оно должно заключаться в следующем - 
аппараты должны будут иметь белые ip-адреса и находиться за iptbales, инет 
трафик на них просто перенаправляется. Пример такого решения можно взять в 
книге "Безопасность Linux. Руководство администратора по системам защиты с 
открытым исходным кодом". Там хоть и приведён пример для пропуска трафика за 
iptables для серверов типам ftp, mail, web. Но оно должно подойти и для 
видеофонов. Да, ещё один момент - в полученном мной решении трафик от/к 
видеофона(у) идёт на/от конкретные(ых) ip-адреса(ов), т.е. видеофон может 
быть вызван определённым кругом абонентов, так же как и видеофон может 
вызвать только определённых абонентов. Так же очень важным является отработка 
icmp-трафика, в первую очередь ping'ов. Но тут возникает опасность атак 
типа "наводнения ping-пакетами". Я думаю, что применённое мной решение - 
ограничение количества и длины принимаемых в секунду ping'ов, позволит решить 
делему: нужно отвечать использовать icmp-трафик и избежать атак 
типа "наводнения ping-пакетами". Я не считаю, что полученное мной решение 
совершенно, если мне посоветуют более совершенное решение я буду премного 
благодарен. И ещё, видеофон от D-Link, модели DVC-2000. Для других моделей 
могут использоваться иные порты, отличные от 15329:15332, 32700:32799. 
Значения этих портов я получил с помощью tcpdump. Проверка связи видеофонов 
показала, что, даже если у абонента в инете другая модель этих портов 
достаточно. у и жрёт же трафик этот видеофон: до мегабайта за 2 
секунды ... :) Вот же счета за инет-трафик нам будут выставляться ... :)
-- 
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
ICQ: 271053845