WS-FTP-Pro und Kerio

#1 Hallo,
ich verwende WS_FTP umd die Daten meiner Website zu aktualisieren. Die Verbindung (TCP-Out-Regel) kommt auch zustande, nur die Ordneranzeige geht nicht. Ich bekomme mit WS_FTP-Pro meine Ordner nur angezeigt, wenn ich Kerio ausschalte. Welche Regel muss ich erstellen, damit die Ordner angezeigt werden können?
Danke,
Siegbert

#2 Stelle das FTP Programm auf passive Übertragung - damit sollte es funktionieren

R.
__________
powered by http://different-thinking.de - Netze, Protokolle, Sicherheit, ...

#3 hallo,

habe norton nun endlich vom pc geworfen und die kostenlose kerio personal firewall 4 installiert und nun jedoch probleme bzgl dem ftp-programm.

las auch schon threads hier, zb bzgl aktiver und passiver übertragung (den unterschied nicht wirklich verstanden habe) und den verschiedenen ports (auch darum brauchte ich mich mit norton nicht kümmern, für normalmenschen vielleicht auch etwas viel verlangt jeden port zu kennen).
passive übertragung habe ich auch schon angehakt - ging dennoch nicht.
ich vermute, ich müßte also noch eine erlaubnisregel einstellen.
den link http://www.protecus.de/Firewall_Security/firewall_regeln_links.html sah ich mir schon an - er scheint sich jedoch auf eine kerio 2.1.5 zu beziehen, jedenfalls findet sich alles so nicht in kerio 4 *in meinen augen jedenfalls*

ich habe folgende punkte, wo ich ansetzen könnte, aber nicht weiß, welcher ansatz richtig ist :

punkt netzwerksicherheit :
diverses aufgelistet, das ich bearbeiten kann (ankommende/abgehende zulassen oder nicht), außerdem könnte ich paketfilter (filterregeln, ip-gruppen) erstellen
bei dem punkt 'jede andere anwendung' möchte ich zb nicht prinzipiell alles ankommende/abgehende zulassen, wäre meiner meinung nach zuviel des guten.
(hier scheine ich richtig zu sein *denk*

punkt systemsicherheit :
diverses aufgelistet, bearbeiten möglich (zulassen oder nicht)

bei norton war es recht einfach - hier blicke ich nicht durch.
regeln aufstellen auch sonst schon gemacht habe, aber auch hier bei kerio irgendwie auf der leitung stehe.

muß ich denn zb für eine aktive übertraung wirklich den ganzen bereich 1024 - 65535 freigeben ?
und was ist sicherer, eine aktive oder passive übertragung ?
vielleicht kann mir da jemand helfen ?

danke + viele grüße, skys


EDIT :
keine ahnung warum jetzt - vorhin gings nicht - jetzt klappts mit der passiven
allerdings die grundfrage, wie es ginge, wenn ich regel für die aktive erstellen will noch nicht ganz fertig bin - obwohl stelle gefunden wo diverses eintragen kann.

trotzdem noch die fragen offen, welche vor-/nachteile für aktiv oder passiv sprechen ?
und ob man wirklich den ganzen portbereich öffnen muß (mir viel vorkommt) ?

#4

Zitat

Aktives und passives FTP

Das FTP Protokoll stammt noch aus der Zeit, als es das Internet in der heutigen Form noch nicht gab. Zu dieser Zeit ging es um das Übertragen von Daten von einem Computer auf einen anderen. Dabei kam man noch ohne Virenscanner und Firewall aus. Daher mag es auch kommen, dass das ursprüngliche FTP Protokoll eine Besonderheit aufweist, mit der einige Firewalls nicht klarkommen.

Ich werde in diesem Artikel beschreiben wie das FTP Protokoll arbeitet und was dazu führt, das manchmal ein FTP Betrieb durch Firewalls unterbunden wird. Um die typischen FTP Probleme zu beseitigen, wurde ein modifiziertes FTP Protokoll entwickelt, was ich dann im Abschnitt "Passive FTP" beschreiben werde.

"Active FTP"
Active FTP ist das originäre FTP Protokoll und bekam den Namen "Active" erst, nach dem das "Passive FTP" entwickelt wurde. FTP ist ein auf TCP basierender Service und zeichnet sich durch eine Besonderheit aus: FTP verwendet zwei Ports! Der eine Port ist der "command" Port und der andere der "data" Port. Dabei wird Port 21 für die Steuerung (command) und der Port 20 für die Daten (data) verwendet.

Möchte sich ein Client mit einem FTP Server verbinden, so öffnet der Client einen beliebigen unpriviligierten Port (alle Ports > 1024) zum "command" Port 21 des Servers und sendet diesem die Portnummer auf dem er die Daten empfangen will. Dies ist in der Regel die Portnummer N+1.

Beispiel: Client öffnet Port 1230 und sendet dem Server auf dessen Port 21 die Information "Ich erwarte Daten auf Port 1231". Der Server bestätigt den Emfang (acknowledge) und der Client öffnet den Port 1231 und lauscht (listening).

Nun öffnet der Server seinen Daten Port 20 und sendet Daten zum Port 1231 des Clients. Der Client bestätigt den Empfang jedes TCP Packetes, ganz so, wie es sich gehört.

Für eine Firewall sieht die Sache aber sehr suspekt aus. Firewalls blockieren jede Anfrage von außen. Firewalls akzeptieren nur TCP Pakete von außen, wenn diese vom empfangenden Port angefordert wurden. Aber bei FTP sieht das anders aus. Erstens hat sich plötzlich ein Port geöffnet (1231) der keine Anfrage gestellt hat und auch noch im "listening mode" ist, und dann sendet ein Port 20 Daten, die von diesem Port nicht angefordert wurden (die Anforderung stammte ja von Port 1230). In diesem Moment macht die Firewall die Klappe zu.

Das ist das Problem, wenn ihr hinter einem Proxy oder einer Firewall sitzt. Gute Firewalls erkennen einen FTP Transfer und behindern diesen nicht. Bei Proxys treten da schon häufiger Probleme auf. Um diese Probleme zu umgehen wurde eine alternative Form des FTP Transfers entwickelt, das "Passive FTP".

"Passive FTP"
Dieser Mode wird auch PASV Mode genannt, weil der FTP Befehl PASV dem Server mitteilt, das der passive Mode gewünscht ist. Im Gegensatz zum aktiven Mode leitet der Client beide Verbindungen zum Server ein. Damit wird das Firewall Problem gelöst, da damit die Firewall über beide clientseitige Verbindungen Kenntnis erhält. Der Ablauf einer solchen, passiven Verbindung, wird im Folgenden beschrieben.

Wenn der Client eine Verbindung zu einem FTP Server wünscht, so öffnet er zwei unpriviligierte Ports > 1024, z.B. Port 1030 und 1031. Nun kontaktiert der erste Port den Server auf dessen "command" Port 21. Aber anstelle dem Server mit dem "Port" Kommando mitzuteilen auf welchem Port die Daten vom Daten Port 20 erwartet werden, sendet der Client den Befehl PASV. Der Server weiß nun nicht auf welchem Port der Client die Daten empfangen will, hat aber die Information, dass der Client eine passive Verbindung wünscht.

Hier erklärt sich nun auch der Begriff "passive". Passive bedeutet aus der Sicht des Servers, dass er nicht aktiv anfangen kann auf den, vom Client geöffneten Port die Daten zu senden.

Der Server sendet nun keine Daten über seinen Port 20, sondern öffnet seinerseits einen Port > 1024 und sendet die Portnummer mittels des FTP Befehls PORT an den Client. Nun kann der Client aktiv das Geschehen lenken. Er kennt den unpriviligierten Port, den der Server anstelle des Ports 20 für den Datenverkehr geöffnet hat und fordert nun von seinem Port 1031 (in unserm Beispiel) die Daten an. Die Firewall kann dies nicht in Verlegenheit bringen, da ein Datenverkehr erfolgt, der vom Client selbst über den Port 1031 gesteuert wird.

Eine FW-Regel für passives FTP sollte für den großteil der User reichen und sollte auch sicherer sein.

Gruß
Ajax