Verständnisproblem: FTP Server in einer DMZ

[Svenbo]

Hallo liebe CB User!

Ich habe aktuell ein kleines Verständnisproblem mit folgender Ausgangssituation:

Es ist geplant einen FTP Server für die Firma aufzusetzen.
Dieser FTP Server soll (um besseren Schutz zu gewährleisten) in einer DMZ so arbeiten, dass er von zwei Firewalls abgeschirmt wird (Eine von der Externen Seite hin zum Internet, und den anderen von der internen Seite, hin zum LAN).

Von der Seite des Internets sollen nur Pakete mit dem entsprechenden Port (21 für FTP Steuerungsanweisungen) durchkommen.was ist mit 20 für den Datenverkehr? Diesen Port müsste ich ebenso weiterleiten an meinen FTP Server wenn ich dem Internetuser einen Upload gestatten will?!
Die restlichen Pakete welche von Außen eintreffen werden verworfen.

Dem FTP Server selbst darf es dann natürlich ebenso nicht möglich sein irgendeine Art von Datenverkehr oder Kommunikation in das internen Netz (LAN) durchzuführen. Ergo wir blocken sämtlichen Datenverkehr welcher von der Quelle FTP Server zum Ziel internes Netzwerk ensteht und verwerfen die Pakete.

Das interne Netz sowie der FTP Server haben natürlich freie Bahn hin zum Internet also zur externen Firewall und können dorthin sämtliche Arten von Paketen versenden.

Jetzt zu meinem Verständnisproblem:
Wie soll ich dann also Nutzer des internen Netzwerks (LAN) mir Pakete vom FTP Server ziehen?
Ich erreiche zwar den FTP, kann diesen auch Pingen, oder Daten senden, aber der FTP sieht mich doch gar nicht. Ergo er kann mir keine Daten senden, er kann mich auch nicht pingen.

Oder stehe ich einfach nur auf dem Schlauch, und der FTP Server sendet die Daten an die Firewall und diese dank NAT Regelung wieder zu meinem Clienten welcher die Pakete anfordert?
Das würde also bedeuten ich muss Zugriffe vom FTP Server auf meine interne Firewall zulassen, aber ich darf der Firewall nicht erlauben Daten welche direkt vom FTP Server stammen in das interne Lan zu versenden.


Falls ich gerade für Verwirrung sorge entschuldige ich mich schoneinmal im vorraus.


Danke für eure Hilfe


Grüße,
XziTe

 

[bu1137]

Port 20 gibts eigentlich nicht mehr. Damit Datenverbindungen funktionieren, musst du in der Regel einen Portbereich (beim FTP Server normalerweise einstellbar) weiterleiten bzw. durchlassen.

Edit: Bezüglich internem Netz. Du musst genauso wie von extern, Verbindungen auf diesen Portbereich zulassen.

Dabei gibts zu beachten, dass es bei FTP zwei verschiedene Arten der Datenverbindungsaufnahme gibt. Passiv oder Aktiv. Meistens sollten die Clients PASV mode verwenden - aber, du hast keine Kontrolle darüber, musst daher beides unterstützen.

Mehr dazu solltest du bei Wikipedia finden.

 

[Mumpitzelchen]

FTP hat soviele Probleme, speziell mit Firewalls.... Port 20 und 21 reichen leider bei weitem nicht.

Mal anders gefragt: wieso muss es FTP sein. gibts irgendeinen zwingenden Grund dafür?

 

[Svenbo]

Ich muss bei FTP bleiben, ja

 

[swz.alucard]

Moderne Firewalls, die in professionellen Bereichen eingesetzt werden, sind zugleich auch ALGs (Application Layer Gatways). Diese schauen sich den FTP-Traffic auf Port 21 an, und öffnen dann dynamisch die benötigten Ports. Damit ist FTP eigentlich relativ problemlos geworden. Unter anderem Juniper, Palo Alto, Checkpoint und Cisco Firewalls können soetwas.

 

[Svenbo]

Nur als Info:
Ich habe mich aktuell (aufgrund von bisheriger Benutzung in der Berufsschule) für die Astaro Firewall entschieden.
Wenn ich gerade richtig gegoogelt habe sollten diese die Möglichkeit für ALG besitzen.

Riesen dank schonmal für die Tipps, das löst doch so langsam einen AHA Effekt in mir aus.
Für weitere bin ich natürlich dankbar!