Torrent setup

Hey Crash,

I've found you need to do a couple of steps for proper torrent configurations.

DNAT:
Any --> Server_IP --> Any or External.

I have Automatic Firewall Rule set. I'm fairly certain External is the proper choice, however, there have been bugs where choosing External causes it to not work. I don't believe there is harm in the matter. Please correct me if that is an inaccurate statement. DNAT is sufficient here unless you have other servers on your network expecting to share (over the local network) to one another.

Firewall:
Server_IP --> Any --> Any

There are a set of ports with which the Torrent Client will want to send out information. You can track them all down, or you can give the Server free reign to send out.

Intrusion Prevention (Only if you're running this):
Anti-Portscan - Make an exception for the Server_IP for Anti-Portscan. If you are running Intrusion Prevention, torrents will simulate a portscan.
Advanced - Under Manual Rule Modification, disable the rules 2180 and 16281, both of which Snort will identify as Intrusion Prevention.

Remember, checking the Firewall Logs and the Intrusion Prevention logs will always offer a lot of information about what is being blocked / dropped, etc. Let me know how you fair. Good luck!

thanks ill give it a try

but does this only allows for one user at a time ?

Hi, for best Torrent performance, you should have a DNAT for each Torrent client.

This will require using different ports for each client, which is not difficult in most clients.

Barry

actually there's an easier way.  setup the client to use the socks proxy and you can route the clients through that.  i've used it here and it works wonderfully with any p2p based client including skype..[:)]

Good point, William.

Barry

I do agree utilizing a Socks Proxy is the better approach given the required scalability, however, not all clients support the use of a proxy. Transmission unfortunately removed this feature so anyone partial to that client (guilty) is out of luck for now. One could use uTorrent, however, it is very alpha for those who use Linux. Good luck with which ever approach you execute.

This is my bit torrent setup. I am using Vuze in classic Azureus mode as my bit torrent client.

I have my Astaro v8.3x as a gateway on the .1 address, with the .6 address used as an additional address for proxies.
I run my bit torrent client on a Windows machine on the LAN using TCP port 52525, and I use UDP on the same port for DHT communication.

My inbound bit torrent service definition looks like this:
Name: BT-52525-in
Type of Definition: TCP/UDP
Destination port: 52525
Source port: 1:65535

My outbound bit torrent service definition looks like this:
Name: BT-52525-out
Type of Definition: TCP/UDP
Destination port: 1024:65535
Source port: 52525

Under Network Security -> Intrusion Prevention -> Exceptions, I have an entry excepting those two services from everything.

Under Network Security -> NAT -> DNAT/SNAT, I have an entry like this:
Position: 1
Traffic Source: Any
Traffic Service: BT-52525-in
Traffic Destination: WAN (Address)
NAT mode: DNAT (Destination)
Destination: 
Destination Service: BT-52525-in

That is all I have for bit torrent configuration on my Astaro box.

Ian's configuration looks fine, but each client would need a similar configuration, with different port numbers (change 52525 to something else on each client).

I should also point out that over-utilization of your total bandwidth may be hard to manage with multiple clients.

Barry

Now what if we use a 3rd party proxy server.
eg. socks5, iPofProxy, port:1080

Defined as follows:
Name: SOCKS5
Type: TCP
Destination Port:1080
Source Port: 1:65535
see attached picture for the client cfg...

Does the above user's settings still apply in my case? Do we still need to bypass the intrusion prevention for SOCKS5 etc?

When you're using SOCKS5, you'll still need a NAT to the Host that's doing the torrenting, however, since everything from the Application is proxied over TCP 1080, that should be the only port you would need to expose from that Host.

I have a SOCKS5 setup for my torrenting, left over from when I had multiple boxes that needed to leverage it; it's a lot more convenient as you can simply use a Username and Password to allow torrenting whilst being able to lock down the network and hosts and block unwanted hosts from being able to flood your network. That being said, I have noticed that Web Protection will pick up 1080 in some cases as Skype, which can be a bit frustrating and confusing.

In terms of intrusion protection, I found it was not needed when using SOCKS5, since it delegates that flooding from the Host to the Firewall.