[linux-l] Netmeeting durch Linux-Firewall

[Marek Froehlich]

Hallo Liste,

ich möchte unter Win98 Netmeeting 3.01 laufen lassen. Der Windows-PC
ist mit einem Linux-PC vernetzt. Über den Linux-PC wird per DSL die
Verbindung zum Internet hergestellt. Auf der Linux-Kiste ist eine
simple Firewall mit Hilfe von Iptables aufgesetzt.
Das Ganze soll NICHT per LDAP sondern über direkt Connection realisiert
werden.

Ansatz: Falls ein Verbindungsaufbau auf einer der Netmeeting-Ports
auf meiner Firewall versucht wird, werden die Pakete ins lokale
192.168.69.XXX Netz geroutet. Dazu wird mit NAT die Destination-IP
des IP-Pakets entsprechend geändert.
Dann noch eine passende FORWARDING-Regel und dann sollte es klappen.

Problem: es klappt nicht :-(

Laut Doku benutzt Netmeeting die Ports 1503 und 1720. Also habe ich
folgende iptables-Rules meinen bestehenden Rules hinzugefügt:

# PREROUTING
iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 1503 -j DNAT \
--to 192.168.69.2:1503
iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 1720 -j DNAT \
--to 192.168.69.2:1720
# FORWARDING
iptables -I FORWARD -d 192.168.69.2 -p tcp -m multiport \
--destination-port 1503,1720,1731 -j ACCEPT


Verbindungsversuche von draussen sind im Log zu sehen, werden aber von
meiner Seite abgelehnt.

Hat schon mal jemand Netmeeting über eine Linux-Firewall zum laufen
gebracht ?

Ach ja, Kernel-Version = 2.4.17, Iptables-Verion = 1.2.4


mfg
Marek Fröhlich
--
/ Marek Fröhlich | Scotty: Captain, hier Maschinenraum. Wir haben ein \
| 13467 Berlin | Problem - ich brauch 2 Tage für die Reparatur.|
| Germany | Kirk: Ich geb Ihnen 2 Stunden! |
\ | Scotty: Ok. Scotty ende. /

[Elmer Stöwer]

-----Original Message-----
Sent: Friday, March 15, 2002 5:24 PM
Hallo Liste,
ich möchte unter Win98 Netmeeting 3.01 laufen lassen. Der Windows-PC
Laut Doku benutzt Netmeeting die Ports 1503 und 1720. Also habe ich

... Ich fürchte ja, daß hier ist die falsche Liste...
Außerdem fürchte ich, daß ich wieder geflamed werde, weil bestimmt
etwas mit meinem Header nicht stimmt.

Aber:
Ich habe NetMeeting aufgegeben, weil es irgendwo hieß, das es weit mehr
als zwei Ports benutzt (und das auch noch zufällig), eine einzige Katastrophe
ist (aus Sicherheitsaspekten...). Es kann sein, daß sich das nur auf den
Server bezieht, m. e. aber auf Nur-Client-Kommunikation.
Dann erinnere ich mich noch, daß es nicht weiter entwickelt wird, weil es
H. 320 (? grrr, wie war der Standard für Bildtelefonie noch gleich) nicht ent-
spricht.
Bin mir sicher, daß Du hier eine Menge Tipps bekommen kannst,
welches Tool unter Linux für Bildtelefonie besser geeignet ist, obowhl das
immer problematisch mit Firewall ist. Du müßtest einen entsprechenden
Server eigentlich außerhalb der Firewall aufstellen.
Was willst Du denn genau damit machen?

Gruß

Elmer

[Tomasz Poslada]

On Fri, Mar 15, 2002 at 05:23:43PM +0100, Marek Froehlich wrote:

Hallo Marek,

Post by Marek Froehlich
Ansatz: Falls ein Verbindungsaufbau auf einer der Netmeeting-Ports
auf meiner Firewall versucht wird, werden die Pakete ins lokale
192.168.69.XXX Netz geroutet.

grundsätzlich sollte man NetMeeting nicht ins lokale Netzwerk zulassen
- muss es unbedingt sein,würde ich lieber eine extra DMZ dafür
empfehlen.

Post by Marek Froehlich
Laut Doku benutzt Netmeeting die Ports 1503 und 1720.

für den Verbindungsaufbau braucht NetMeeting leider tcp auf 1503 und
1720, sowie udp auf 1731 (für Audio-Steuerung) und für die laufende
Session wird noch udp (Audio+Video) und tcp (für die Überwachung der
Streams) jeweils oberhalb von 1023 benötigt. Bei LDAP mit ILS/ULS noch
zusätzlich tcp auf 389 und 522. Also jede Menge Ports muss man öffnen
- sicherheitstechnisch ohne extra DMZ unverantwortlich.

Gruss

Tomasz

[Robert Sander]

Hi!

Das Problem mit dem Maskerieren von Netmeeting ist, daß das H.323
Protokoll ähnlich wie FTP die IP-Adressen der an der Verbindung
beteiligten Partner austauscht. D.h. die Maskerierung ist nicht so
einfach, es braucht ein ip_masq-Modul, welches den
H.323-Protokoll-Stream mitliest und in den Daten die Adressen ändert.

Ansätze dazu sind auf
http://www.coritel.it/coritel/ip/sofia/nat/nat.html
gemacht worden.

Grüße

[Thomas Knop]

Post by Marek Froehlich
ich möchte unter Win98 Netmeeting 3.01 laufen lassen.

Du wirst mit SNAT scheitern.
Wenn Du nur mit einer Person telefonieren willst und diese auch eine Linuxbox
hat, setze ein Arme-Leute VPN auf.

pppd updetach noauth pty \
"ssh <user>@<dest> pppd nodetach notty noauth" \
10.0.0.1:10.0.0.2

Passende routen und gut ist. Wenn die Linuxbuechsen sehr schwachbruestig
(z.B 468DX33) und Du leichtsinnig bist, kannst du noch die Verschluesselung
im ssh Protokoll abschalten.

Gruß Thomas

[Tobias Schlottke]

Post by Tomasz Poslada
für den Verbindungsaufbau braucht NetMeeting leider tcp auf 1503 und
1720, sowie udp auf 1731 (für Audio-Steuerung) und für die laufende
Session wird noch udp (Audio+Video) und tcp (für die Überwachung der
Streams) jeweils oberhalb von 1023 benötigt. Bei LDAP mit ILS/ULS noch
zusätzlich tcp auf 389 und 522. Also jede Menge Ports muss man öffnen
- sicherheitstechnisch ohne extra DMZ unverantwortlich.

Mmmh. Eigentlich finde ich die Anzahl der offenen
Ports weniger wichtig als die Anzahl der dahinter
laufenden Applikationen. Wieviel sind des
eigentlich bei NetMeeting? Und wenn man der einen
nicht traut, dann :-(

Gruß,
Toby