---

Modparten kan både se og høre mig (webcam og mic) men jeg kan ikke se og
høre modparten. Jeg kan ringe op men modparten kan ikke ringe op til mig....

Der er INTET andet i min iptables end
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
echo "1" >/proc/sys/net/ipv4/ip_forward

og alt andet kører fint....

Hjælp!!

vh. Peter

---

Peter Andersen wrote:

> Modparten kan både se og høre mig (webcam og mic) men jeg kan ikke se
> og høre modparten. Jeg kan ringe op men modparten kan ikke ringe op
> til mig....
>
> Der er INTET andet i min iptables end
> iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
> echo "1" >/proc/sys/net/ipv4/ip_forward
>
> og alt andet kører fint....

NetMeeting kan ikke tåle at blive NAT'et uden et særligt H323-modul
(der ikke eksisterer) eller en H323-gatekeeper.

Sidstnævnte findes på

http://openh323proxy.sourceforge.net/

- men jeg har ingen anelse, om den virker...

Rasmus

--
-- [ Rasmus 'Møffe' Bøg Hansen ] ---------------------------------------
Life is that property, which a being will lose as a result of falling
out of a cold and mysterious cave 30 miles above ground level.
- HitchHikers Guide to the Galaxy, Douglas Adams
--------------------------------- [ moffe at amagerkollegiet dot dk ] --

---

"Rasmus Bøg Hansen" <moffespam@amagerkollegiet.dk> wrote in message
news:9pcsfk$uct$2@carlsberg.amagerkollegiet.dk...
> Peter Andersen wrote:
>
> > Modparten kan både se og høre mig (webcam og mic) men jeg kan ikke se
> > og høre modparten. Jeg kan ringe op men modparten kan ikke ringe op
> > til mig....
> >
> > Der er INTET andet i min iptables end
> > iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
> > echo "1" >/proc/sys/net/ipv4/ip_forward
> >
> > og alt andet kører fint....
>
> NetMeeting kan ikke tåle at blive NAT'et uden et særligt H323-modul
> (der ikke eksisterer) eller en H323-gatekeeper.
>
> Sidstnævnte findes på
>
> http://openh323proxy.sourceforge.net/
>
> - men jeg har ingen anelse, om den virker...

Ja..jeg har også lige fundet ud af det samme!!! Vil straks prøve det! jeg
har brugt det før i en ppp 6.0 opkobling, men jeg aner ikke hvordan!

---

"Peter Andersen" <peterandersen@e-box.dk> wrote in message
news:3bb9ffc8$0$247$edfadb0f@dspool01.news.tele.dk...
> "Rasmus Bøg Hansen" <moffespam@amagerkollegiet.dk> wrote in message
> news:9pcsfk$uct$2@carlsberg.amagerkollegiet.dk...
> > Peter Andersen wrote:
> >
> > > Modparten kan både se og høre mig (webcam og mic) men jeg kan ikke se
> > > og høre modparten. Jeg kan ringe op men modparten kan ikke ringe op
> > > til mig....
> > >
> > > Der er INTET andet i min iptables end
> > > iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
> > > echo "1" >/proc/sys/net/ipv4/ip_forward
> > >
> > > og alt andet kører fint....
> >
> > NetMeeting kan ikke tåle at blive NAT'et uden et særligt H323-modul
> > (der ikke eksisterer) eller en H323-gatekeeper.


Det er værd at kigge her:
http://www.coritel.it/coritel/ip/sofia/nat/nat2/nat2.htm

Men jeg kan IKKE få det til at virke på mit systen (dvs. kerne 2.4.x på
RH71)

Har nogen prøvet? Jeg får en masse fejl hvis jeg prøver at compile det og
til sidst forsvand alle mine kerne moduler!!

---

Peter Andersen wrote:

>> > NetMeeting kan ikke tåle at blive NAT'et uden et særligt H323-modul
>> > (der ikke eksisterer) eller en H323-gatekeeper.
>
> Det er værd at kigge her:
> http://www.coritel.it/coritel/ip/sofia/nat/nat2/nat2.htm
>
> Men jeg kan IKKE få det til at virke på mit systen (dvs. kerne 2.4.x
> på RH71)

Om det fungerer under 2.4 skal jeg ikke kunne sige - men i hvert fald
ikke med iptables. Det modul er til ipchains og ikke iptables. På grund
af nogen begrænsinger i iptables (der arbejdes vist på at løse dem) kan
der ikke til H323 og ICQ skrives connection tracking / nat helper
moduler uden at de bliver vildt komplicerede, så ingen har gjort det
endnu...

> Har nogen prøvet? Jeg får en masse fejl hvis jeg prøver at compile det
> og til sidst forsvand alle mine kerne moduler!!

Så har du nok oversat som root og ikke som en almindelig bruger - som
man normalt gør...

Rasmus

--
-- [ Rasmus 'Møffe' Bøg Hansen ] ---------------------------------------
Chewbacca is actually not a bad SysAdmin icon. He's large, tends
towards inarticulate grunts, doesn't shave, get's stuck with a lot of
the technical work, and gets blamed and yelled at when it doesn't work.
-- Mike Sphar
--------------------------------- [ moffe at amagerkollegiet dot dk ] --

---

"Rasmus Bøg Hansen" <moffespam@amagerkollegiet.dk> wrote in message
news:9pdi14$a94$1@carlsberg.amagerkollegiet.dk...
> Peter Andersen wrote:
>
> >> > NetMeeting kan ikke tåle at blive NAT'et uden et særligt H323-modul
> >> > (der ikke eksisterer) eller en H323-gatekeeper.
> >
> > Det er værd at kigge her:
> > http://www.coritel.it/coritel/ip/sofia/nat/nat2/nat2.htm
> >
> > Men jeg kan IKKE få det til at virke på mit systen (dvs. kerne 2.4.x
> > på RH71)
>
> Om det fungerer under 2.4 skal jeg ikke kunne sige - men i hvert fald
> ikke med iptables. Det modul er til ipchains og ikke iptables. På grund
> af nogen begrænsinger i iptables (der arbejdes vist på at løse dem) kan
> der ikke til H323 og ICQ skrives connection tracking / nat helper
> moduler uden at de bliver vildt komplicerede, så ingen har gjort det
> endnu...

Ok... Så skal jeg ha sat mig ind i IPCHAINS i stedet for.... puha

---

Den Wed, 3 Oct 2001 01:19:00 +0200 skrev Rasmus Bøg Hansen:
>Peter Andersen wrote:
>
>>> > NetMeeting kan ikke tåle at blive NAT'et uden et særligt H323-modul
>>> > (der ikke eksisterer) eller en H323-gatekeeper.
>>
>> Det er værd at kigge her:
>> http://www.coritel.it/coritel/ip/sofia/nat/nat2/nat2.htm
>>
>> Men jeg kan IKKE få det til at virke på mit systen (dvs. kerne 2.4.x
>> på RH71)
>
>Om det fungerer under 2.4 skal jeg ikke kunne sige - men i hvert fald
>ikke med iptables. Det modul er til ipchains og ikke iptables. På grund
>af nogen begrænsinger i iptables (der arbejdes vist på at løse dem) kan
>der ikke til H323 og ICQ skrives connection tracking / nat helper
>moduler uden at de bliver vildt komplicerede, så ingen har gjort det
>endnu...

Det lyder som noget der hører til i userspace så. Skulle det ikke være
blevet rimelig brugbart at lave userspace helpers med iptables?

Mvh
Kent
--
IIS should be kept behind a PIX or better firewall, with port 80 closed.

---

Kent Friis wrote:

>>Om det fungerer under 2.4 skal jeg ikke kunne sige - men i hvert fald
>>ikke med iptables. Det modul er til ipchains og ikke iptables. På
>>grund af nogen begrænsinger i iptables (der arbejdes vist på at løse
>>dem) kan der ikke til H323 og ICQ skrives connection tracking / nat
>>helper moduler uden at de bliver vildt komplicerede, så ingen har
>>gjort det endnu...
>
> Det lyder som noget der hører til i userspace så. Skulle det ikke være
> blevet rimelig brugbart at lave userspace helpers med iptables?

Det skulle kunne gøres ved hjælp af noget NETLINK. Men så skal alt
køres gennem et NETLINK (og dermed kopieres frem og tilbage mellem
kernen og userspace) - og problemet er vel snarere at der ikke findes
et connection tracking modul til ICQ eller H323...

Rasmus

--
-- [ Rasmus 'Møffe' Bøg Hansen ] ---------------------------------------
"Memory is like gasoline. You use it up when you are running. Of
course you get it all back when you reboot.
-- Microsoft help desk
--------------------------------- [ moffe at amagerkollegiet dot dk ] --

---

Den Wed, 3 Oct 2001 22:06:36 +0200 skrev Rasmus Bøg Hansen:
>Kent Friis wrote:
>
>>>Om det fungerer under 2.4 skal jeg ikke kunne sige - men i hvert fald
>>>ikke med iptables. Det modul er til ipchains og ikke iptables. På
>>>grund af nogen begrænsinger i iptables (der arbejdes vist på at løse
>>>dem) kan der ikke til H323 og ICQ skrives connection tracking / nat
>>>helper moduler uden at de bliver vildt komplicerede, så ingen har
>>>gjort det endnu...
>>
>> Det lyder som noget der hører til i userspace så. Skulle det ikke være
>> blevet rimelig brugbart at lave userspace helpers med iptables?
>
>Det skulle kunne gøres ved hjælp af noget NETLINK. Men så skal alt
>køres gennem et NETLINK (og dermed kopieres frem og tilbage mellem
>kernen og userspace) - og problemet er vel snarere at der ikke findes
>et connection tracking modul til ICQ eller H323...

Det skulle være muligt at bruge -j QUEUE på trafik til/fra icq.com
på port 4000, så det er bare spørgsmålet om man fra userspace kan
tilføje connections til ip_conntrack.

Mvh
Kent
--
IIS should be kept behind a PIX or better firewall, with port 80 closed.

---

Kent Friis wrote:

>>Det skulle kunne gøres ved hjælp af noget NETLINK. Men så skal alt
>>køres gennem et NETLINK (og dermed kopieres frem og tilbage mellem
>>kernen og userspace) - og problemet er vel snarere at der ikke findes
>>et connection tracking modul til ICQ eller H323...
>
> Det skulle være muligt at bruge -j QUEUE på trafik til/fra icq.com
> på port 4000, så det er bare spørgsmålet om man fra userspace kan
> tilføje connections til ip_conntrack.

Du rammer stadig begrænsningen: ip_conntrack kan ikke i sin nuværende
form have mere end 1 EXPECTED forbindelse pr. ESTABLISHED forbindelse.
ICQ såvel som netmeeting (eller H323 i det hele taget) kræver mere end
det - hvorfor man ikke kan lave et passende helper-modul - heller ikke
i userspace.

Som sagt arbejdes på det. netfilter-folkene har en newnat-patch i
version 0.91 (kan ses i iptables-cvs), der skulle fjerne begrænsningen
- jeg har dog ikke prøvet den...

Rasmus

--
-- [ Rasmus 'Møffe' Bøg Hansen ] ---------------------------------------
[...] Note that 120 sec is defined in the protocol as the maximum
possible RTT. I guess we'll have to use something other than TCP
to talk to the University of Mars.
--------------------------------- [ moffe at amagerkollegiet dot dk ] --

---

Den Wed, 3 Oct 2001 23:57:24 +0200 skrev Rasmus Bøg Hansen:
>Kent Friis wrote:
>
>>>Det skulle kunne gøres ved hjælp af noget NETLINK. Men så skal alt
>>>køres gennem et NETLINK (og dermed kopieres frem og tilbage mellem
>>>kernen og userspace) - og problemet er vel snarere at der ikke findes
>>>et connection tracking modul til ICQ eller H323...
>>
>> Det skulle være muligt at bruge -j QUEUE på trafik til/fra icq.com
>> på port 4000, så det er bare spørgsmålet om man fra userspace kan
>> tilføje connections til ip_conntrack.
>
>Du rammer stadig begrænsningen: ip_conntrack kan ikke i sin nuværende
>form have mere end 1 EXPECTED forbindelse pr. ESTABLISHED forbindelse.

Ok - det var jeg ikke klar over.

>ICQ såvel som netmeeting (eller H323 i det hele taget) kræver mere end
>det - hvorfor man ikke kan lave et passende helper-modul - heller ikke
>i userspace.

Mig bekendt er det eneste tidspunkt ICQ har brug for en ekstra
forbindelse når man forsøger at snakke klient-klient - dvs. imellem de
to klienter. Jeg kan ikke lige se hvorfor den skulle have brug for mere
end en?

>Som sagt arbejdes på det. netfilter-folkene har en newnat-patch i
>version 0.91 (kan ses i iptables-cvs), der skulle fjerne begrænsningen
>- jeg har dog ikke prøvet den...

Gad vide om den bliver officiel før linux-2.5 (2.6)?

Mvh
Kent
--
IIS should be kept behind a PIX or better firewall, with port 80 closed.

---

Kent Friis wrote:

>>Du rammer stadig begrænsningen: ip_conntrack kan ikke i sin nuværende
>>form have mere end 1 EXPECTED forbindelse pr. ESTABLISHED forbindelse.
>
> Ok - det var jeg ikke klar over.
>
>>ICQ såvel som netmeeting (eller H323 i det hele taget) kræver mere end
>>det - hvorfor man ikke kan lave et passende helper-modul - heller ikke
>>i userspace.
>
> Mig bekendt er det eneste tidspunkt ICQ har brug for en ekstra
> forbindelse når man forsøger at snakke klient-klient - dvs. imellem de
> to klienter. Jeg kan ikke lige se hvorfor den skulle have brug for
> mere end en?

Det er også netop i den situation, det er nødvendigt med et
helper-modul. Måske den kan vente på forbindelser fra flere klienter -
ellers kan jeg ikke se, hvorfor den har brug for flere...

>>Som sagt arbejdes på det. netfilter-folkene har en newnat-patch i
>>version 0.91 (kan ses i iptables-cvs), der skulle fjerne begrænsningen
>>- jeg har dog ikke prøvet den...
>
> Gad vide om den bliver officiel før linux-2.5 (2.6)?

Man kan jo håbe...

Rasmus

--
-- [ Rasmus 'Møffe' Bøg Hansen ] ---------------------------------------
Beware of bugs in the above code;
I have only proved it correct, not tried it.
- Donald Knuth
--------------------------------- [ moffe at amagerkollegiet dot dk ] --

---

Den Fri, 5 Oct 2001 12:34:26 +0200 skrev Rasmus Bøg Hansen:
>Kent Friis wrote:
>
>>>Du rammer stadig begrænsningen: ip_conntrack kan ikke i sin nuværende
>>>form have mere end 1 EXPECTED forbindelse pr. ESTABLISHED forbindelse.
>>
>> Ok - det var jeg ikke klar over.
>>
>>>ICQ såvel som netmeeting (eller H323 i det hele taget) kræver mere end
>>>det - hvorfor man ikke kan lave et passende helper-modul - heller ikke
>>>i userspace.
>>
>> Mig bekendt er det eneste tidspunkt ICQ har brug for en ekstra
>> forbindelse når man forsøger at snakke klient-klient - dvs. imellem de
>> to klienter. Jeg kan ikke lige se hvorfor den skulle have brug for
>> mere end en?
>
>Det er også netop i den situation, det er nødvendigt med et
>helper-modul. Måske den kan vente på forbindelser fra flere klienter -
>ellers kan jeg ikke se, hvorfor den har brug for flere...

ICQ skal bare sættes til "Always send through server" (windows versionen
finder selv ud af det), så virker det. UNDTAGEN chat-requests, som kun
virker udgående. Men normalt har man vel ikke mere end en af dem i
luften ad gangen. Og de burde da også skifte fra "expected" til
"established" rimelig hurtigt.

Mvh
Kent
--
IIS should be kept behind a PIX or better firewall, with port 80 closed.

---

Kent Friis wrote:

>>> Mig bekendt er det eneste tidspunkt ICQ har brug for en ekstra
>>> forbindelse når man forsøger at snakke klient-klient - dvs. imellem
>>> de to klienter. Jeg kan ikke lige se hvorfor den skulle have brug
>>> for mere end en?
>>
>>Det er også netop i den situation, det er nødvendigt med et
>>helper-modul. Måske den kan vente på forbindelser fra flere klienter -
>>ellers kan jeg ikke se, hvorfor den har brug for flere...
>
> ICQ skal bare sættes til "Always send through server" (windows
> versionen finder selv ud af det), så virker det. UNDTAGEN

Hmmm... Det ka' licq vist ikke - jeg kan i hvert fald ikke finde det i
1.0.2 (har endnu ikke fået opgraderet til 1.0.3).

> chat-requests, som kun virker udgående. Men normalt har man vel ikke

Og indgående filoverførsler virker heller ikke. Medmindre man
selvfølgelig allerede har sendt noget direkte til brugeren i den anden
ende.

> mere end en af dem i luften ad gangen. Og de burde da også skifte fra
> "expected" til "established" rimelig hurtigt.

Det kommer da an på, hvor længe modtageren i den anden ende er til at
acceptere forbindelsen, vil jeg gætte på uden at kende så meget til
ICQ-protokollen.

Men det er den forklaring, som netfilter-folkene giver - og man må vel
næsten formode at de har bare en anelse om, hvad de snakker om :)

Rasmus

--
-- [ Rasmus 'Møffe' Bøg Hansen ] ---------------------------------------
If a trainstation is the place where trains stop, what is a workstation?
--------------------------------- [ moffe at amagerkollegiet dot dk ] --

---

On Mon, 8 Oct 2001 20:17:53 +0200, Rasmus Bøg Hansen
<moffespam@amagerkollegiet.dk> wrote:

>> ICQ skal bare sættes til "Always send through server" (windows
>> versionen finder selv ud af det), så virker det. UNDTAGEN
>Hmmm... Det ka' licq vist ikke - jeg kan i hvert fald ikke finde det i
>1.0.2 (har endnu ikke fået opgraderet til 1.0.3).

Jeg ville tilsvarende gerne lære hvilken konfigurationssetting, der
skulle til. Jeg har 1.0.3, og har netop det problem, bl.a. med min
ICQ-robot. Her går der lang tid for nogle forbindelser (typisk pga.
NAT-drillerier og ICQ-protokollens mærkelige sammensætning), før licq
bare opgiver og sender gennem serveren i stedet for. Da jeg
eksperimenterede med det sidst, gik der 15 minutter, fra min autoreply
havde lavet beskeden, til modtageren fik den - altså 15 minutter, hvor
den fedtede rundt, før den gav op.

En drastisk sænkning af denne timeout ville også kunne være rar, men
som nævnt har jeg ikke umiddelbart fundet en passende setting til det.

--
- Peter Brodersen

---

On Mon, 08 Oct 2001 20:42:19 +0200, Peter Brodersen
<professionel@nerd.dk> wrote:

>En drastisk sænkning af denne timeout ville også kunne være rar, men
>som nævnt har jeg ikke umiddelbart fundet en passende setting til det.

.... og såvidt, jeg kunne se, da jeg testede sidst, så brugte
Windows-klienten 15 sekunder på at forsøge at sende til ICQ-robotten,
før den så sendte til ICQ-serveren i stedet for.

Gu' ve' om der er en licq-programmør, der har byttet om på sekunder og
minutter? :)

--
- Peter Brodersen

---

Den Mon, 8 Oct 2001 20:17:53 +0200 skrev Rasmus Bøg Hansen:
>Kent Friis wrote:
>
>>>> Mig bekendt er det eneste tidspunkt ICQ har brug for en ekstra
>>>> forbindelse når man forsøger at snakke klient-klient - dvs. imellem
>>>> de to klienter. Jeg kan ikke lige se hvorfor den skulle have brug
>>>> for mere end en?
>>>
>>>Det er også netop i den situation, det er nødvendigt med et
>>>helper-modul. Måske den kan vente på forbindelser fra flere klienter -
>>>ellers kan jeg ikke se, hvorfor den har brug for flere...
>>
>> ICQ skal bare sættes til "Always send through server" (windows
>> versionen finder selv ud af det), så virker det. UNDTAGEN
>
>Hmmm... Det ka' licq vist ikke - jeg kan i hvert fald ikke finde det i
>1.0.2 (har endnu ikke fået opgraderet til 1.0.3).

Mon ikke den gør det som default, så? Hvis man skal sende til folk
der sidder bag en non-icq-aware firewall, så er man nødt til det.

>> chat-requests, som kun virker udgående. Men normalt har man vel ikke
>
>Og indgående filoverførsler virker heller ikke. Medmindre man
>selvfølgelig allerede har sendt noget direkte til brugeren i den anden
>ende.

Hvem f*nden bruger også ICQ til filoverførsler?

>> mere end en af dem i luften ad gangen. Og de burde da også skifte fra
>> "expected" til "established" rimelig hurtigt.
>
>Det kommer da an på, hvor længe modtageren i den anden ende er til at
>acceptere forbindelsen, vil jeg gætte på uden at kende så meget til
>ICQ-protokollen.

Forhåbenlig ikke (men ikke umuligt).

>Men det er den forklaring, som netfilter-folkene giver - og man må vel
>næsten formode at de har bare en anelse om, hvad de snakker om :)

Det må man da håbe

Mvh
Kent
--
War does not determine who is right, only who is left.

---

Kent Friis wrote:

>>> ICQ skal bare sættes til "Always send through server" (windows
>>> versionen finder selv ud af det), så virker det. UNDTAGEN
>>
>>Hmmm... Det ka' licq vist ikke - jeg kan i hvert fald ikke finde det i
>>1.0.2 (har endnu ikke fået opgraderet til 1.0.3).
>
> Mon ikke den gør det som default, så? Hvis man skal sende til folk
> der sidder bag en non-icq-aware firewall, så er man nødt til det.

Den prøver i meget lang tid - og spø'r så til sidst om man vil sende
gennem serveren. Jeg ville naturligvis hellere have den til at prøve
serveren først...

> Hvem f*nden bruger også ICQ til filoverførsler?

Ikke mig - men nogle af 'mine' brugere savner det vist :)

Rasmus

--
-- [ Rasmus 'Møffe' Bøg Hansen ] ---------------------------------------
I think the sum of intelligence on the internet is constant.
Only the number of users grows.
- Uwe Ohse in the monastery
--------------------------------- [ moffe at amagerkollegiet dot dk ] --

---

"Peter Andersen" <peterandersen@e-box.dk> wrote in message
news:3bba2bef$0$251$edfadb0f@dspool01.news.tele.dk...
> "Peter Andersen" <peterandersen@e-box.dk> wrote in message
> news:3bb9ffc8$0$247$edfadb0f@dspool01.news.tele.dk...
> > "Rasmus Bøg Hansen" <moffespam@amagerkollegiet.dk> wrote in message
> > news:9pcsfk$uct$2@carlsberg.amagerkollegiet.dk...
> > > Peter Andersen wrote:
> > >
> > > > Modparten kan både se og høre mig (webcam og mic) men jeg kan ikke
se
> > > > og høre modparten. Jeg kan ringe op men modparten kan ikke ringe op
> > > > til mig....
> > > >
> > > > Der er INTET andet i min iptables end
> > > > iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
> > > > echo "1" >/proc/sys/net/ipv4/ip_forward
> > > >
> > > > og alt andet kører fint....
> > >
> > > NetMeeting kan ikke tåle at blive NAT'et uden et særligt H323-modul
> > > (der ikke eksisterer) eller en H323-gatekeeper.


http://www.coritel.it/coritel/ip/sofia/nat/nat2/nat2.htm
Der er et modul man kan download, compile, indsætte og så kører det bare.
MEN jeg kunne kun få det til at køre i en RH62 med kerne 2.2x..
Det kan være nogen der har mere forstand på det vil se om det ikke kan lade
sig gøre at køre det på kerne 2.4 (jeg tror det bare er et spørgsmål om at
fortælle Makefile under ../net/ipv4/ hvor det ligger m.m.....

Men det KAN lade sig gøre!