iptables and linux gateway ==> port forwarding

Kai Beginner Joined: 06 Nov 2004 Posts: 5 Location: France

Hi i post it here , i've posted it before on wrong section (sorry)

Hi!
i'm on a lan connected to a linux gateway ( iptables NAT.. sharing the connection)

my workstation running kaid = 192.168.0.2
my gw =192.168.0.1
my xbox=192.168.0.3

On my gateway io have 2 ethernet network interfaces:
eth0 = external (BAD) = Internet
eth1 = internal (LAN)

-----------------------------------------------------------------------------------------------------------
on kaid.conf:
################################################################################
# Kai daemon configuration file
#
# This file contains the configuration options for Kai daemon.
# There are some fields which can be modified, the descriptions of these fields
# and their default values are listed below
#
# UIPort : Specifies which port kaid will be listening to for controller
# UIs connections.
# Ex.: 34522 (default)
UIPort = 34522

# OrbPort : Specifies which port kaid will use to probe and talk with
# Orbitals (UDP & TCP)
# Ex.: 34525
# Default : 34525 (default)
OrbPort = 34525

# Bind : Specifies the IP:port to listen for Orbital datagrams (UDP);
# (port should be forwarded in your router if using NAT)
# Ex.: 192.168.0.1, 192.168.0.1:37500, :37500
# ******** JUST USING PORT NUMBER FOR NOW , DON'T FORGET ":"
Bind = :37500
#:37500

# SniffDevice : NIC to sniff for console traffic (eth0, ethX, ...);
# Ex.: eth0 (default), en0 (Mac OSX),
SniffDevice = eth0

# Protocol : Indicates whether kaid will support IPv6. Valid values
# for this field are:
# 4 - IPv4 Support only.
# 6 - IPv4 and IPv6 Support.
# ***** This is WIP, only using IPv4 for now !!!! ******
Protocol = 4

# ConsoleMacs : You can and should specify your console(s) mac address(es)
# here. They'll be used as pcap filters reducing CPU loading
# processing each packet. It will also avoid sniffing
# incoming/injected packets to be caught. Format must be
# standard tcpdump format: Ex.: 00:ff:dd:5b:31:ac
# You can specify more than a mac address in a ; separated
# list. Will be parsed and "OR'ed" in filter. List should end
# with ";" or last element will be discarded.
#ConsoleMacs = 00:50:f2:d4:f2:03;00:50:f2:d4:f2:03;
ConsoleMacs = 00:50:f2:89:ea:46

# ConfigURL : URL where orb list is published (and extra stuff)
ConfigURL = http://www.teamxlink.co.uk/connector/clientgetconfig.php

# Auth stuff, for clients like Win32 (XBMC uses auth from XboxMediaCenter.xml)!
# Current XBMC (1.1+) allows to setup XTag & Pass on screen)
# Get latest CVS for working arena support
# No defaults here!
Username = my_login
Password = my_pass
AutoLogin = 1

------------------------------------------------------------------------------------------------------------

i have a xbox 1.1, running xbmc 1.0 if it can help i dunno..

My problem is that i type :

iptables -t nat -A PREROUTING -i eth0 -p udp --dport 37500 -j DNAT --to-destination 192.168.0.2:37500

is it correct ? Do i have to forward something else ? UIPort = 34522 or OrbPort = 34525

when i launch #./kaid (only work on root.. is it dangerous ? corect ?)
i've got:
./kaid
Reading settings from kaid.conf
Fetching settings from http://www.teamxlink.co.uk/connector/clientgetconfig.php...
7 orbital(s) available...
Kai daemon starting...
PKTSNIFF: Setting up packet sniffer...
PKTSNIFF: Applying pcap filter 'ether src 00:xx.XXXXxxxxx'
Everything set with packet sniffer...
00:xx.XXXXxxxxxx <--- it's the MAC Adress of my xbox..

and when i launch Rainbow Six 3 on multi console --> refresh nothing found :/

COULD YOU HELP PLEASE ??????????????????????????????????????????????????? : ]

-----------------------------------------------------------------------------------------------------------

Here my iptables-script loaded at startup ..it's in french but at the END you can see the portforwarding for KAI:
#!/bin/sh
# /etc/network/if-pre-up.d/iptables-start
# Script qui démarre les règles de filtrage "iptables"
# Formation Debian GNU/Linux par Alexis de Lattre
# http://www.via.ecp.fr/~alexis/formation-linux/

# REMISE à ZERO des règles de filtrage
iptables -F
iptables -t nat -F

# DEBUT des "politiques par défaut"

# Je veux que les connexions entrantes soient bloquées par défaut
iptables -P INPUT DROP

# Je veux que les connexions destinées à être forwardées
# soient acceptées par défaut
iptables -P FORWARD ACCEPT

# Je veux que les connexions sortantes soient acceptées par défaut
iptables -P OUTPUT ACCEPT

# FIN des "politiques par défaut"

# DEBUT des règles de filtrage

# Pas de filtrage sur l'interface de "loopback"
iptables -A INPUT -i lo -j ACCEPT

# J'accepte le protocole ICMP (i.e. le "ping")
#iptables -A INPUT -p icmp -j ACCEPT
#iptables -A INPUT -p icmp -j ULOG --ulog-prefix=PING
# Moi j'accepte pas !!!!!!!!!!!!!!!!!!!
iptables -A input -p icmp -j DROP

# J'accepte le protocole IGMP (pour le multicast)
iptables -A INPUT -p igmp -j ACCEPT

# J'accepte les packets entrants relatifs à des connexions déjà établies
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

# Décommentez les deux lignes suivantes pour que le serveur FTP éventuel
# soit joignable de l'extérieur
#iptables -A INPUT -p tcp --dport 20 -j ACCEPT
#iptables -A INPUT -p tcp --dport 21 -j ACCEPT

# Décommentez la ligne suivante pour que le serveur SSH éventuel
# soit joignable de l'extérieur
#iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# Décommentez la ligne suivante pour que le serveur de mail éventuel
# soit joignable de l'extérieur
#iptables -A INPUT -p tcp --dport 25 -j ACCEPT

# Décommentez les deux lignes suivantes pour que le serveur de DNS éventuel
# soit joignable de l'extérieur
#iptables -A INPUT -p tcp --dport 53 -j ACCEPT
#iptables -A INPUT -p udp --dport 53 -j ACCEPT

# Décommentez la ligne suivante pour que le serveur Web éventuel
# soit joignable de l'extérieur
#iptables -A INPUT -p tcp --dport 80 -j ACCEPT

# Décommentez la ligne suivante pour que le serveur CUPS éventuel
# soit joignable de l'extérieur
#iptables -A INPUT -p tcp --dport 631 -j ACCEPT

# Décommentez les deux lignes suivantes pour que le serveur Samba éventuel
# soit joignable de l'extérieur
#iptables -A INPUT -p tcp --dport 139 -j ACCEPT
#iptables -A INPUT -p udp --dport 139 -j ACCEPT

# Décommentez la ligne suivante pour que des clients puissent se connecter
# à l'ordinateur par XDMCP)
#iptables -A INPUT -p udp --dport 177 -j ACCEPT

# Décommentez la ligne suivante pour que l'odinateur puisse se connecter
# par XDMCP à une machine distante)
#iptables -A INPUT -p tcp --dport 6001 -j ACCEPT

# Décommentez la ligne suivante pour que le serveur CVS éventuel
# soit joignable de l'extérieur via le mécanisme de "pserver"
# (si les utilisateurs accèdent au serveur CVS exclusivement via SSH,
# seule la ligne concernant le serveur SSH doit être décommentée)
#iptables -A INPUT -p tcp --dport 2401 -j ACCEPT

# Décommentez la ligne suivante pour pouvoir reçevoir des flux VideoLAN
# (ce sont des flux UDP entrants sur le port 1234)
#iptables -A INPUT -p udp --dport 1234 -j ACCEPT

# Décommentez la ligne suivante pour pouvoir reçevoir des annonces SAP
# (ce sont des annonces de session multicast)
#iptables -A INPUT -p udp -d 224.2.127.254 --dport 9875 -j ACCEPT

# Décommentez les 3 lignes suivantes pour pouvoir utiliser GnomeMeeting
#iptables -A INPUT -p tcp --dport 30000:33000 -j ACCEPT
#iptables -A INPUT -p tcp --dport 1720 -j ACCEPT
#iptables -A INPUT -p udp --dport 5000:5006 -j ACCEPT

# La règle par défaut pour la chaine INPUT devient "REJECT"
# (il n'est pas possible de mettre REJECT comme politique par défaut)
iptables -A INPUT -j REJECT

# FIN des règles de filtrage

# DEBUT des règles pour le partage de connexion (i.e. le NAT)

# Décommentez la ligne suivante pour que le système fasse office de
# "serveur NAT" et remplaçez "eth0" par le nom de l'interface connectée
# à Internet
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# Si la connexion que vous partagez est une connexion ADSL, vous
# serez probablement confronté au fameux problème du MTU. En résumé,
# le problème vient du fait que le MTU de la liaison entre votre
# fournisseur d'accès et le serveur NAT est un petit peu inférieur au
# MTU de la liaison Ethernet qui relie le serveur NAT aux machines qui
# sont derrière le NAT. Pour résoudre ce problème, décommentez la ligne
# suivante et remplaçez "eth0" par le nom de l'interface connectée à
# Internet.
iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS -o eth0 --clamp-mss-to-pmtu

# FIN des règles pour le partage de connexion (i.e. le NAT)

# DEBUT des règles de "port forwarding"

# Décommentez la ligne suivante pour que les requêtes TCP reçues sur
# le port 80 de l'interface eth0 soient forwardées à la machine dont
# l'IP est 192.168.0.3 sur son port 80 (la réponse à la requête sera
# forwardée au client)
#iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.3:80

# port forwarding du port 37500 vers la workstation (ou tourne KAI)
iptables -t nat -A PREROUTING -i eth0 -p udp --dport 37500 -j DNAT --to-destination 192.168.0.2:37500

# FIN des règles de "port forwarding"

-----------------------------------------------------------------------------------------------------------

Posted: Fri Nov 12, 2004 11:19 pm

You'll get a better response in the Linux forum (where you've already posted). Thanks.

LOCKED.