[Comm] Видеофон за файерволом.

[Comm] Видеофон за файерволом.

[Шенцев Алексей Владимирович]

Есть видеофон расположенный в ЛВС со своим ip-адресом из диапазона адресов ЛВС. Есть список ip-адресов абонентов в интернете. На шлюзе стоит iptables. Выход на абонентов из сети сделал, связь идёт нормально. Но вот как организовать возможность вызова абонентами из интернета видеофона стоящего в ЛВС за iptables? Проброс портов проблематичен, так как я не знаю какие именно порты или диапазоны портов нужны. С помощью tcpdump записал в файл дамп сеанса видео связи, примерный список диапазонов портов есть, но не уверен что это все используемые порты и протоколы. Может как можно пробрасывать вызов видеофона с определённого интернет ip-адреса(ов) на видеофон в ЛВС не использую проброс портов?

Re: [Comm] Видеофон за файерволом.

[Vyatcheslav Perevalov]

В сообщении от 21 июня 2006 17:33 Шенцев Алексей Владимирович написал(a):
> Есть видеофон расположенный в ЛВС со своим ip-адресом из диапазона адресов
> ЛВС. Есть список ip-адресов абонентов в интернете. На шлюзе стоит iptables.
> Выход на абонентов из сети сделал, связь идёт нормально. Но вот как
> организовать возможность вызова абонентами из интернета видеофона стоящего
> в ЛВС за iptables? Проброс портов проблематичен, так как я не знаю какие
> именно порты или диапазоны портов нужны. С помощью tcpdump записал в файл
> дамп сеанса видео связи, примерный список диапазонов портов есть, но не
> уверен что это все используемые порты и протоколы. Может как можно
> пробрасывать вызов видеофона с определённого интернет ip-адреса(ов) на
> видеофон в ЛВС не использую проброс портов?
Можно будет все пакеты с определённого адреса из внешней сети перекидывать на 
некоторый адрес во внутренней сети. Как именно - курить iptables Tutorial. 
Где его взять - спросить у google.

-- 
/vip

Re: [Comm] Видеофон за файерволом.

[Шенцев Алексей Владимирович]

On Wed, 21 Jun 2006 22:18:19 +0700 Vyatcheslav Perevalov wrote:
> Можно будет все пакеты с определённого адреса из внешней сети перекидывать на 
> некоторый адрес во внутренней сети. 
Это я и сам понимаю ...
>Как именно - курить iptables Tutorial. 
У меня с этим цейтнот ... просто физически нет времени на воскуривание документации ...
> Где его взять - спросить у google.
http://iptables.ru 
Мне нужно конкретное решение,а не простая отписка от не чего делать ...

Re: [Comm] Видеофон за файерволом.

[Eugene Prokopiev]

Шенцев Алексей Владимирович пишет:
> Есть видеофон расположенный в ЛВС со своим ip-адресом из диапазона адресов ЛВС. Есть список ip-адресов абонентов в интернете. На шлюзе стоит iptables. Выход на абонентов из сети сделал, связь идёт нормально. Но вот как организовать возможность вызова абонентами из интернета видеофона стоящего в ЛВС за iptables? Проброс портов проблематичен, так как я не знаю какие именно порты или диапазоны портов нужны. С помощью tcpdump записал в файл дамп сеанса видео связи, примерный список диапазонов портов есть, но не уверен что это все используемые порты и протоколы. Может как можно пробрасывать вызов видеофона с определённого интернет ip-адреса(ов) на видеофон в ЛВС не использую проброс портов?

Какой протокол, используемый видеофоном? SIP? Может правильнее построить 
SIP-proxy на основе, например, SIP Express Router - он в Сизифе есть.

-- 
С уважением, Прокопьев Евгений

Re: [Comm] Видеофон за файерволом.

[Шенцев Алексей Владимирович]

On Thu, 22 Jun 2006 09:31:05 +0400 Eugene Prokopiev wrote:
> Какой протокол, используемый видеофоном? SIP? 
А чёрт его знает, в документации ни чего не сказано. Устройство от D-Link DVC-2000.Согласно результатам работы tcpdump используется udp, порты в диапазонах  15329:15332,32700:32799. IPTables настроил так:
-A FORWARD -s <ip-адрес видеофона внутри ЛВС> -d <ip-адрес абонента в интернете> -j ACCEPT
-A PREROUTING -s <ip-адрес абонента в интернете> -d <интернет ip-адрес шлюза> -i <интерфейс смотрящий в инет на шлюзе> -j DNAT --to-destination <ip-адрес видеофона внутри ЛВС>
-A POSTROUTING -s <ip-адрес видеофона внутри ЛВС> -d <ip-адрес абонента в интернете> -o <интерфейс смотрящий в инет на шлюзе> -j SNAT --to-source <интернет ip-адрес шлюза>
-A INPUT -i <интерфейс смотрящий в инет на шлюзе> -p tcp -m multiport --dports 15329:15332,32700:32799 -j ACCEPT
-A INPUT -i <интерфейс смотрящий в инет на шлюзе> -p udp -m multiport --dports 15329:15332,32700:32799 -j ACCEPT
Вроде всё правильно? Хотя вполне может что и ошибся.
>Может правильнее построить SIP-proxy на основе, например, SIP Express Router - он в Сизифе есть.
Может и так будет вернее, DVC-2000 знает, что такое DNS-сервер, Gateway, но не знает что такое Proxy-сервер, хотя это не важно. Как сейчас оказалось связь от нас с абонентом в интернете осуществляется нормально, т.е. мы вызываем абонента, соединяемся с ним, видим друг друга, разговариваем, картинка нормальная, звук то же, а вот нас абонент не может вызвать. Согласно результатам трассировки абонента нашего шлюза, соединение с нами обрывается да же не доходя до нашего провайдера ... вот такие пироги ...

Re: [Comm] Видеофон за файерволом.

[Vyatcheslav Perevalov]

В сообщении от 22 июня 2006 12:46 Шенцев Алексей Владимирович написал(a):

> Согласно результатам трассировки абонента нашего шлюза, соединение с нами
> обрывается да же не доходя до нашего провайдера ... вот такие пироги ...

Поясните, пожалуйста, вот это утверждение?
Значит ли это, что ICMP-пакеты от вашего внешнего абонента теряютсягде-то в 
пути? Если так, то сей факт ещё ни о чём не говорит, просто на одном из 
роутеров в маршруте стоит запрет на передачу ICMP. Если же не проходит 
полезный трафик, то нужно более детально рассматривать проблему.
-- 
/vip

Re: [Comm] Видеофон за файерволом.

[Шенцев Алексей Владимирович]

On Thu, 22 Jun 2006 12:58:43 +0700 Vyatcheslav Perevalov wrote:

> В сообщении от 22 июня 2006 12:46 Шенцев Алексей Владимирович написал(a):
> 
> > Согласно результатам трассировки абонента нашего шлюза, соединение с нами
> > обрывается да же не доходя до нашего провайдера ... вот такие пироги ...
> 
> Поясните, пожалуйста, вот это утверждение?
> Значит ли это, что ICMP-пакеты от вашего внешнего абонента теряютсягде-то в 
> пути? Если так, то сей факт ещё ни о чём не говорит, просто на одном из 
> роутеров в маршруте стоит запрет на передачу ICMP. Если же не проходит 
> полезный трафик, то нужно более детально рассматривать проблему.
Вот выдержка из результата работы tracert от клиента к нам:
8    28 ms    26 ms    26 ms  83.69.67.50
9    30 ms    28 ms    29 ms  83.69.67.70
10     *        *        *     Превышен интервал ожидания для запроса.
А вот что мне дала команда ping от нас на 83.69.67.70:
ping 83.69.67.70
PING 83.69.67.70 (83.69.67.70) 56(84) bytes of data.
64 bytes from 83.69.67.70: icmp_seq=1 ttl=63 time=4.90 ms
64 bytes from 83.69.67.70: icmp_seq=2 ttl=63 time=4.85 ms
64 bytes from 83.69.67.70: icmp_seq=3 ttl=63 time=5.04 ms
На сколько я понимаю, на 83.69.67.70 не запрещён ICMP. Или я что то не понимаю?

Re: [Comm] Видеофон за файерволом.

[Vyatcheslav Perevalov]

В сообщении от 22 июня 2006 13:17 Шенцев Алексей Владимирович написал(a):

> Вот выдержка из результата работы tracert от клиента к нам:
> 8    28 ms    26 ms    26 ms  83.69.67.50
> 9    30 ms    28 ms    29 ms  83.69.67.70
> 10     *        *        *     Превышен интервал ожидания для запроса.
> А вот что мне дала команда ping от нас на 83.69.67.70:
> ping 83.69.67.70
> PING 83.69.67.70 (83.69.67.70) 56(84) bytes of data.
> 64 bytes from 83.69.67.70: icmp_seq=1 ttl=63 time=4.90 ms
> 64 bytes from 83.69.67.70: icmp_seq=2 ttl=63 time=4.85 ms
> 64 bytes from 83.69.67.70: icmp_seq=3 ttl=63 time=5.04 ms
> На сколько я понимаю, на 83.69.67.70 не запрещён ICMP. Или я что то не
> понимаю? 
1. Пинг от клиента до вас доходит?
2. tracepath от вас к клиенту идёт по тому-же маршруту?

-- 
/vip

Re: [Comm] Видеофон за файерволом.

[Шенцев Алексей Владимирович]

On Thu, 22 Jun 2006 13:29:28 +0700 Vyatcheslav Perevalov wrote:
> 1. Пинг от клиента до вас доходит?
Нет.
> 2. tracepath от вас к клиенту идёт по тому-же маршруту?
Нет, по другому маршруту.

Re: [Comm] Видеофон за файерволом.

[Vyatcheslav Perevalov]

В сообщении от 22 июня 2006 13:35 Шенцев Алексей Владимирович написал(a):
> On Thu, 22 Jun 2006 13:29:28 +0700 Vyatcheslav Perevalov wrote:
> > 1. Пинг от клиента до вас доходит?
>
> Нет.
>
> > 2. tracepath от вас к клиенту идёт по тому-же маршруту?
>
> Нет, по другому маршруту.
В любом случае, если соединение с клиентом, инициируемое вами, 
устанавливается, то соответствующий протокол не режется. 

Тогда ещё вопрос: достаточно ли будет соединение [один клиент снаружи] <-> 
[один клиент внутри], или же необходимо [каждый извне]<->[каждый внутри]?

-- 
/vip

Re: [Comm] Видеофон за файерволом.

[Шенцев Алексей Владимирович]

On Thu, 22 Jun 2006 13:45:49 +0700 Vyatcheslav Perevalov wrote:
> В любом случае, если соединение с клиентом, инициируемое вами, 
> устанавливается, то соответствующий протокол не режется. 
Это мне понятно, но вот почему клиент до нас не может достучаться осень интересно. Для проверки правильности настройки iptables я писал дамп на нашем интернетовском интерфейсе, когда абонент пытался вызвать нас. Результат - ни каких обращений к нашему интернет ip-адресу от абонента не было ... Т.е. до нас пакеты от клиента не дошли. Получается так?
> 
> Тогда ещё вопрос: достаточно ли будет соединение [один клиент снаружи] <-> 
> [один клиент внутри], или же необходимо [каждый извне]<->[каждый внутри]?
Пока у нас одно такое устройство и несколько абонентов в интернете. Если я не ошибусь, отработав правила для одного соединения [абонет1 в инете] <-> [абонет внутри] просто скопировать заменив лишь  ip-адреса абонентов в инете. Или не так? ... :)

Re: [Comm] Видеофон за файерволом.

[Vyatcheslav Perevalov]

В сообщении от 22 июня 2006 13:56 Шенцев Алексей Владимирович написал(a):

> Это мне понятно, но вот почему клиент до нас не может достучаться осень
> интересно. Для проверки правильности настройки iptables я писал дамп на
> нашем интернетовском интерфейсе, когда абонент пытался вызвать нас.
> Результат - ни каких обращений к нашему интернет ip-адресу от абонента не
> было ... Т.е. до нас пакеты от клиента не дошли. Получается так?

А не может такого случиться, что ваш ИСП вас за НАТ посадил??


> Пока у нас одно такое устройство и несколько абонентов в интернете. Если я
> не ошибусь, отработав правила для одного соединения [абонет1 в инете] <->
> [абонет внутри] просто скопировать заменив лишь  ip-адреса абонентов в
> инете. Или не так? ... :)

Так-то оно так.

Короче, нашёл решение похожей задачи в книге Скотт Манн, Эллен Митчелл, 
Митчелл Крелл "Безопасность Линукс. Руководство администратора по системам 
защиты с открытым исходным кодом. Второе издание"
Только там на примере FTP и WWW-серверов, сидящих за NATом в локалке.
И целая страница правил для iptables.

-- 
/vip

Re: [Comm] Видеофон за файерволом.

[Шенцев Алексей Владимирович]

On Thu, 22 Jun 2006 14:13:23 +0700 Vyatcheslav Perevalov wrote:
> А не может такого случиться, что ваш ИСП вас за НАТ посадил??
Не понял кто такой ИСП?
> Так-то оно так.
> 
> Короче, нашёл решение похожей задачи в книге Скотт Манн, Эллен Митчелл, 
> Митчелл Крелл "Безопасность Линукс. Руководство администратора по системам 
> защиты с открытым исходным кодом. Второе издание"
> Только там на примере FTP и WWW-серверов, сидящих за NATом в локалке.
> И целая страница правил для iptables.
Вроде она у меня есть на винте, посмотрю её. Времени практически нет на чтение док и разбор примеров. Полный цейтнот ...

Re: [Comm] Видеофон за файерволом.

[Vyatcheslav Perevalov]

В сообщении от 22 июня 2006 14:19 Шенцев Алексей Владимирович написал(a):

>
> Вроде она у меня есть на винте, посмотрю её. Времени практически нет на
> чтение док и разбор примеров. Полный цейтнот ...
Страницы 440-442
-- 
/vip

Re: [Comm] Видеофон за файерволом.

[Шенцев Алексей Владимирович]

On Thu, 22 Jun 2006 14:28:25 +0700 Vyatcheslav Perevalov wrote:
> > Вроде она у меня есть на винте, посмотрю её. Времени практически нет на
> > чтение док и разбор примеров. Полный цейтнот ...
> Страницы 440-442
Уже читаю. Лишним ни когда не будет. Но как я понимаю проблема где то в районе провайдера.

Re: [Comm] Видеофон за файерволом.

[Vyatcheslav Perevalov]

В сообщении от 22 июня 2006 14:29 Шенцев Алексей Владимирович написал(a):

>
> Уже читаю. Лишним ни когда не будет. Но как я понимаю проблема где то в
> районе провайдера. 
Ну что, подвижки какие-нить есть? ситуация прояснилась?
-- 
/vip

Re: [Comm] Видеофон за файерволом.

[Шенцев Алексей Владимирович]

On Thu, 22 Jun 2006 23:16:24 +0700 Vyatcheslav Perevalov wrote:
> Ну что, подвижки какие-нить есть? ситуация прояснилась?
Нет. Главная проблема в взаимодействии двух провайдеров: нашего и кавказтранстелеком. Именно на последнем рубятся пакеты идущие к нам. Так что пока не могу проверить всё ли я правильно сделал.

Re: [Comm] Видеофон за файерволом.

[Andrey Konovalov aka Krapa]

В сообщении от Чт 22 Июнь 2006 13:19 Шенцев Алексей Владимирович написал(a):

> > Короче, нашёл решение похожей задачи в книге Скотт Манн, Эллен Митчелл,
> > Митчелл Крелл "Безопасность Линукс. Руководство администратора по
> > системам защиты с открытым исходным кодом. Второе издание"
> > Только там на примере FTP и WWW-серверов, сидящих за NATом в локалке.
> > И целая страница правил для iptables.
>
> Вроде она у меня есть на винте, посмотрю её. Времени практически нет на
> чтение док и разбор примеров. Полный цейтнот ...

А ссылочкой на оную не поделитесь? Сходу не нашёл.

-- 
Мы видим сны не для того, чтоб просыпаться, поэтому - пока...
ICQ:295374679

Re: [Comm] Видеофон за файерволом.

[Vyatcheslav Perevalov]

В сообщении от 22 июня 2006 20:06 Andrey Konovalov aka Krapa написал(a):
> В сообщении от Чт 22 Июнь 2006 13:19 Шенцев Алексей Владимирович написал(a):
> > > Короче, нашёл решение похожей задачи в книге Скотт Манн, Эллен Митчелл,
> > > Митчелл Крелл "Безопасность Линукс. Руководство администратора по
> > > системам защиты с открытым исходным кодом. Второе издание"
> > > Только там на примере FTP и WWW-серверов, сидящих за NATом в локалке.
> > > И целая страница правил для iptables.
> >
> > Вроде она у меня есть на винте, посмотрю её. Времени практически нет на
> > чтение док и разбор примеров. Полный цейтнот ...
>
> А ссылочкой на оную не поделитесь? Сходу не нашёл.

У меня она в бумажном виде. Года полтора назад приобрёл за 360 рублей. 
Бумажный вид разных книг предпочитаю электронному по множеству причин, 
поэтому каждую достаточно заинтересовавшую меня книгу я либо приобретаю в 
книжном магазине, либо распечатываю.

-- 
/vip

Re: [Comm] Видеофон за файерволом.

[Вадим Илларионов]

Шенцев Алексей Владимирович wrote:

> Не понял кто такой ИСП?
Интернет-Сервис Провайдер
________________________
С уважением,
Вадим Илларионов
системный администратор
Усолье-Сибирский почтамт
JID: см. <mailto:>
UIN: 7899517
Телефоны:
Мобильный +7 904 658-4154
Рабочий   +7 39543 444-00

Re: [Comm] Видеофон за файерволом.

[Шенцев Алексей Владимирович]

On Fri, 23 Jun 2006 10:21:06 +0900 Вадим Илларионов wrote:
> Интернет-Сервис Провайдер
Тьфу, сразу не сообразил, что есть что ... :) Прикол ещё интересней - пакеты не то что не доходят до нас, они не доходят даже до нашего провайдера. Проблема в провайдере Кавказтранстелеком.

Re: [Comm] Видеофон за файерволом.

[Eugene Prokopiev]

Шенцев Алексей Владимирович пишет:
> On Thu, 22 Jun 2006 09:31:05 +0400 Eugene Prokopiev wrote:
> 
>>Какой протокол, используемый видеофоном? SIP? 
> 
> А чёрт его знает, в документации ни чего не сказано. Устройство от D-Link DVC-2000.Согласно результатам работы tcpdump используется udp, порты в диапазонах  15329:15332,32700:32799. 

Очень похоже ;) Попробуйте на файл дампа натравить ethereal и узнаете 
точно.

Хотя не надо, тут 
http://www.dlink.ru/products/prodview.php?type=19&id=575 пишут, что H.323 :(

В таком случае вам нужен gnugk - OpenH323 Gatekeeper или что-то вроде 
http://www.opennet.ru/prog/info/1064.shtml

IPTables настроил так:
> -A FORWARD -s <ip-адрес видеофона внутри ЛВС> -d <ip-адрес абонента в интернете> -j ACCEPT
> -A PREROUTING -s <ip-адрес абонента в интернете> -d <интернет ip-адрес шлюза> -i <интерфейс смотрящий в инет на шлюзе> -j DNAT --to-destination <ip-адрес видеофона внутри ЛВС>
> -A POSTROUTING -s <ip-адрес видеофона внутри ЛВС> -d <ip-адрес абонента в интернете> -o <интерфейс смотрящий в инет на шлюзе> -j SNAT --to-source <интернет ip-адрес шлюза>
> -A INPUT -i <интерфейс смотрящий в инет на шлюзе> -p tcp -m multiport --dports 15329:15332,32700:32799 -j ACCEPT
> -A INPUT -i <интерфейс смотрящий в инет на шлюзе> -p udp -m multiport --dports 15329:15332,32700:32799 -j ACCEPT
> Вроде всё правильно? Хотя вполне может что и ошибся.
> 
>>Может правильнее построить SIP-proxy на основе, например, SIP Express Router - он в Сизифе есть.
> 
> Может и так будет вернее, DVC-2000 знает, что такое DNS-сервер, Gateway, но не знает что такое Proxy-сервер, хотя это не важно. Как сейчас оказалось связь от нас с абонентом в интернете осуществляется нормально, т.е. мы вызываем абонента, соединяемся с ним, видим друг друга, разговариваем, картинка нормальная, звук то же, а вот нас абонент не может вызвать. Согласно результатам трассировки абонента нашего шлюза, соединение с нами обрывается да же не доходя до нашего провайдера ... вот такие пироги ...

Все VoIP протоколы (исключая самый маргинальный IAX :) ) с большим 
предубеждением относятся к NAT и различным firewalls :(

-- 
С уважением, Прокопьев Евгений

Re: [Comm] Видеофон за файерволом.

[Шенцев Алексей Владимирович]

On Thu, 22 Jun 2006 10:40:00 +0400 Eugene Prokopiev wrote:
> > А чёрт его знает, в документации ни чего не сказано. Устройство от D-Link DVC-2000.Согласно результатам работы tcpdump используется udp, порты в диапазонах  15329:15332,32700:32799. 
> 
> Очень похоже ;) Попробуйте на файл дампа натравить ethereal и узнаете 
> точно.
Хорошо, попробую ... :)
> 
> Хотя не надо, тут 
> http://www.dlink.ru/products/prodview.php?type=19&id=575 пишут, что H.323 :(
Ну естественно я сначала прочёл всю имеющиеся документацию ... :) Протокол H.323 предназначен для передачи потоковой видеоинформации на приёмник. Используется на пример в видеоконференциях. На сколько я понял он инкапсулируется в TCP/IP
> 
> В таком случае вам нужен gnugk - OpenH323 Gatekeeper или что-то вроде 
> http://www.opennet.ru/prog/info/1064.shtml
Интересно будет попробовать, если ни чего другое не поможет ... :)
> 
> Все VoIP протоколы (исключая самый маргинальный IAX :) ) с большим 
> предубеждением относятся к NAT и различным firewalls :(
Не захотят по добру работать, запинаю их с особой жестокостью и ненавистью, но работать заставлю ... :)