aktives, passives ftp

#1 Hallo Forum !

Ich habe seit kurzen einen nat router an dem zwei rechner hängen auf denen ich jeweils noch eine kerio firewall habe und ich musste jetzt feststellen, dass der aktive ftp upload und download nicht mehr funktioniert. Jetzt habe ich auf passives ftp umgeschalten und es funktioniert auch wieder alles.
Aber ich dachte: das aktive upload funktioniert jetzt nicht mehr, da die nat firewall die anfrage des client auf port 20(command port) am server und die damit am server ausgelöste antwort auf port 21 nicht in der routing tabelle des routers verzeichnet hat und somit keine zuordnung erstellen kann. (kompliziert beschrieben ich weiß, aber das stimmt ja so oder ????...). ... Auf alle fälle meine eigentliche frage ist jetzt. das ganze würde ja heißen, daß das datenpaket nie den (meinen)client erreicht. Auf meiner firewall sehe ich aber daß das datenpaket (durch den nat router durch) auf meinen client ankommt(incomming: von remote port 20 auf local port 3517). Wie kann es sein daß mir die firewall meldet ich habe incomming pakete, obwohl die ja eigentlich vom router nicht durchgelassen werden, was ja auch der fall ist weil ich immer die Fehlermeldung bekomme: konnte keine Verbindung zum server aufbauen.
Vielleicht weiß ja jemand was ich meine und kann mir das anschaulich erklären.
mfg

#2 Beim aktiven FTP stellt der FTP Server den Datentransfer her, dies kann er nicht wenn der Client sich hinter einer Instanz wie Gateway oder Router befindet. Beim passiven FTP übernimmt der Client auch den daten transfer wobei dann 20/tcp für ftp-data komplett wegfällt da der Client sich diversen highports bedient.

Zitat

da die nat firewall die anfrage des client auf port 20(command port) am server und die damit am server ausgelöste antwort auf port 21 nicht in der routing tabelle des routers verzeichnet hat

Genau das ist eben nicht der Fall - und 20 ist ftp-data und nicht ftp-control.
Der Server öffnet die Daten Verbindung bei aktiven FTP (wie oben erläutert) und dazu öffnet er den lokalen port 20/tcp, das Ziel ist ein beliebiger highport des clients.
Zu deiner Software kann ich nichts intelligentes sagen da ich sie nicht kenne aber ich denke du wirst dir die meisten Fragen beantworten können wenn du erstmal das Prinzip verstehst.

Hier noch eine gute Seite: http://slacksite.com/other/ftp.html
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode

#3 Hi !

Habe mich vorhin nicht richtig ausgedrückt und die ports habe ich auch verwechselt (tschuldige)

Aber was mich eigentlich verwirrt ist: Warum wird mir an der firewall angezeigt, daß die verbindung clientanfrage(port3512) auf remote port21 -> incomming remoteport 20 auf lokal port 3513, hinhaut. Normalerweiße dürfte ich vom server incomming remoteport 20 auf lokal port 3513 gar nicht mehr sehen, weil das wird ja am nat router nicht durchgelassen oder ???....

#4

Zitat

Normalerweiße dürfte ich vom server incomming remoteport 20 auf lokal port 3513 gar nicht mehr sehen, weil das wird ja am nat router nicht durchgelassen oder ???....

Das ist Absurd, was dein Router durchläßt müßtest du doch am besten wissen
Also das obige Verhalten ist auf aktive FTP zurückzuführen, der Server will dem Client die daten schicken.
In wie weit dein NAT Router da funktioniert, ob er die Pakete durchleitet (was NAT schon sagt) oder nicht kann dir wohl keiner hier beantworten. Eigentlich weißt doch nur du allein deine Konfiguration oder nicht?
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode