nicht angemeldet
Aktives FTP verwirrt mich
Hallo!
Also kurz einmal die Frage ob ichs eh richtig habe:
Aktives FTP:
Kontrollkanal localip:N > ftp-server:21 und Datenkanal localip:N+1 < ftp-server:M
(Also ich mach selbst einen Port auf und empfange da die Daten)
Passives FTP: Daten und Kontrollport am Server.
Ich habe gerade eine ipchains Firewall zwischen zwei lokalen Netzen (kein MASQ!) eingerichtet. Da ist mir aufgefallen, dass aktives FTP gar nicht mehr gehn kann (weil ich ja vom "externen" Netz alle Ports sperre).
Oke, das sehe ich ja ein.
Auf der anderen Seite habe ich aber einen stinknormalen NAT-Router und ich versuche *explizit* eine aktive Verbindung z.B. zu www.8ung.at aufzubauen und es funktioniert! Aber das DARF doch normalerweise gar nicht funktionieren, denn für aktives FTP müsste doch der lokale PC einen Port öffnen und der kann dann nicht durch den NAT Router gehen!
Was mich zusätzlich erstaunt, dass ich während der FTP Session mit netstat -a keinen LISTEN Port, der zur FTP Verbindung gehören könnte, angezeigt bekomme, weder in Windows noch in Linux.
Andrerseits, wenn ich mich unter Linux mit ftp (Konsole) einlogge und ich gib "passive" ein, dann steht "Passive mode on." Gib ich es nochmal ein, steht "passive mode off". Bei beiden funktioniert aber FTP ganz normal.
Ich bin jetzt total verwirrt. Kann mir das mal wer erklären?
Die einzige Hoffnung, die ich noch habe, wäre, dass die FTP Server von sich aus gar keinen aktiven Modus mehr anbieten, weil ihn eh keiner nutzen kann. Dann müsste aber die Übertragung fehlschlagen, wenn ich explizit im aktiven Modus bin.
Das ganze verhält sich z.B. mit dem FTP Server members.aon.at gleich!
Danke für die Aufklärung!
Peter
-
Hm, es gibt glaub ich ein Kernel-Modul, was auch mit aktiven FTP-Verbindungen umgehen kann.
Das loggt den entsprechenden Datenkanal-Port mit und macht soz. ein temporäres Forwarding auf diesen Port. Hast Du das vielleicht irgendwo mit geladen? -
Moin!
Auf der anderen Seite habe ich aber einen stinknormalen NAT-Router und ich versuche *explizit* eine aktive Verbindung z.B. zu www.8ung.at aufzubauen und es funktioniert!
Die Hersteller käuflicher NAT-Router wissen, dass ihre Kunden auch FTP-Verbindungen ins Internet aufbauen werden. Damit die Kunden nicht wie blöde Supportanfragen der Form "Mein FTP geht nicht!" stellen (welche mit "stellen Sie auf passives FTP" - "Wie denn, wo denn? Häh?" fortgesetzt würden), wurde - genauso wie es z.B. beim Linux-Masquerading möglich ist - ein FTP-Modul aktiviert, welches den ausgehenden Datenverkehr auf FTP-Verbindungen untersucht und für derartige Verbindungen den Connect von außen nach innen erlaubt. Dasselbe kann man für diverse andere Verbindungsprotokolle (ICQ, CuSeeMe, Quake,...) auch machen.
Merke: Ein NAT-Router ist keine Firewall, er lehnt nicht zwingend alle Verbindungsanfragen von außen ab.
- Sven Rautenberg