# FTP Firewall Regeln

**URL:** <https://ask.linuxmuster.net/t/ftp-firewall-regeln/2294>\
**Category:** Firewall\
**Created:** [8. Mai 2018 um 22:42 UTC](https://ask.linuxmuster.net/t/ftp-firewall-regeln/2294 "2018-05-08T22:42:21Z")\
**Posts on this page:** 2\
**Page:** 1

<div class="post-metadata">

**Author:** ![zefanja](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/zefanja/32/75_2.png) [@zefanja](https://ask.linuxmuster.net/u/zefanja)\
**Post date:** [8. Mai 2018 um 22:42 UTC](https://ask.linuxmuster.net/t/ftp-firewall-regeln/2294/1 "2018-05-08T22:42:21Z")

</div>

Hallo,

ich möchte gern FTP im Lehrer-WLAN freigeben. Port 21 allein reicht da nicht aus, da das nur für den Verbindungsaufbau genutzt wird, aber die eigentlichen FTP Befehle über andere Ports laufen. Ganz habe ich das noch nicht verstanden (passiver vs. aktiver Modus), deshalb meine Frage:

Wer hat FTP in seinem Netz freigegeben und welche Regel(n) habt ihr dafür eingerichtet?

vG Stephan

---

<div class="post-metadata">

**Author:** ![Ulf](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/u/22d042/32.png) [@Ulf](https://ask.linuxmuster.net/u/Ulf)\
**Post date:** [9. Mai 2018 um 07:31 UTC](https://ask.linuxmuster.net/t/ftp-firewall-regeln/2294/2 "2018-05-09T07:31:23Z")

</div>

Hi,  
wenn möglich, verzichte auf FTP!

Lassen wir die offensichtlichen Nachteile wie keine Verschlüsselung etc. mal weg, ist FTP nach heutigem Standard auch schlecht designt.

Wenn du eine FTP Verbindung nach außen aufbaust, dann “antwortet” der Server mit einer neuen Anfrage zurück, auf einem anderen Port. Es ist im Grunde also keine Antwort, sondern ein völlig neues Paket. Und genau das ist es, was dir letztlich das Genick bricht. Für die Firewall sieht das ankommende Paket von extern aus wie ein ungefragter Versuch in das Netzwerk zu kommen. Und natürlich blockiert sie diesen Versuch. Genau dafür ist sie ja da. Es ist übrigens egal ob man hier Aktiv oder Passiv FTP nutzt.

Wirklich lösen lässt sich das Problem dank des Designs von FTP nicht. Workarounds wären entsprechende Ausnahmeregeln für feste externe IP Adressen zu definieren. Aber auch das ist eher dirty.

Falls es dir möglich ist, nutze SFTP. Heisst zwar ähnlich, hat aber nichts mit dem klassischen FTP zu tun.

> **[SSH File Transfer Protocol](https://en.wikipedia.org/wiki/SSH_File_Transfer_Protocol)**
>
> In computing, the SSH File Transfer Protocol (also Secure File Transfer Protocol, or SFTP) is a network protocol that provides file access, file transfer, and file management over any reliable data stream. It was designed by the Internet Engineering Task Force (IETF) as an extension of the Secure Shell protocol (SSH) version 2.0 to provide secure file transfer capabilities. The IETF Internet Draft states that, even though this protocol is described in the context of the SSH-2 protocol, it could b...

SFTP arbeitet deutlich sicherer und für die Firewall einfach besser, weil Antwortpakete auch als Antwortpakete erkannt werden. Und du entsprechend keine hässlichen Workarounds schaffen musst.

SFTP ist nicht zu verwechseln mit FTPS. FTPS ist klassisches FTP mit einem SSL Layer oben drauf. Löst das Verschlüsselungsproblem, die restlichen Probleme bleiben aber.

TL;DR: FTP ist tot! Es lebe SFTP!