FTP-Proxy

Ein FTP-Proxy ermöglicht die Dateiübertragung über einen Proxyserver, indem er als Vermittler zwischen einem FTP-Client und einem FTP-Server fungiert und sowohl die Kontroll- als auch die Datenverbindungen erleichtert, insbesondere über Netzwerkgrenzen wie Firewalls oder Network Address Translation (NAT)-Geräte hinweg.

Verständnis der FTP-Verbindungsmodi

Das File Transfer Protocol (FTP) verwendet für jede Sitzung zwei unterschiedliche Verbindungen:
1. Kontrollverbindung: Eine persistente Verbindung, die auf TCP-Port 21 (Standard) hergestellt wird, um Befehle (z. B. USER, PASS, LIST, GET, PUT) zu senden und Antworten zu empfangen.
2. Datenverbindung: Eine temporäre Verbindung, die für die eigentliche Übertragung von Dateidaten oder Verzeichnislisten verwendet wird. Der Aufbau dieser Verbindung variiert je nach FTP-Modus.

Aktiver FTP-Modus

Im aktiven Modus initiiert der FTP-Client die Kontrollverbindung zum Server. Wenn eine Datenübertragung angefordert wird, sendet der Client einen PORT-Befehl an den Server, der eine IP-Adresse und Portnummer angibt, auf der er auf die Datenverbindung warten wird. Der FTP-Server initiiert dann eine Datenverbindung zurück zur angegebenen Client-IP und Port von seinem eigenen TCP-Port 20 (Standard).

Herausforderungen im aktiven Modus:
Der aktive Modus scheitert oft an Firewalls, da der Server versucht, eine Verbindung zum Client herzustellen. Befindet sich der Client hinter einer Firewall, die unaufgeforderte eingehende Verbindungen blockiert, kann die Datenverbindung nicht hergestellt werden.

Client (Port X) --------> Server (Port 21) [Kontrollverbindung]
Client (Port Y) <-------- Server (Port 20) [Datenverbindung - Von Firewall blockiert]

Passiver FTP-Modus

Im passiven Modus initiiert der FTP-Client sowohl die Kontroll- als auch die Datenverbindung. Nach dem Aufbau der Kontrollverbindung sendet der Client einen PASV-Befehl an den Server. Der Server antwortet mit einer IP-Adresse und Portnummer, auf der er auf die Datenverbindung warten wird. Der Client initiiert dann die Datenverbindung zur angegebenen Server-IP und Port.

Vorteile des passiven Modus:
Der passive Modus ist im Allgemeinen firewallfreundlicher, da der Client alle Verbindungen initiiert, was die Firewall-Regeln vereinfacht.

Client (Port X) --------> Server (Port 21) [Kontrollverbindung]
Client (Port Y) --------> Server (Port Z)  [Datenverbindung]

Wie ein FTP-Proxy funktioniert

Ein FTP-Proxyserver arbeitet, indem er den FTP-Verkehr abfängt und die Komplexitäten sowohl der Kontroll- als auch der Datenverbindungen im Namen des Clients verwaltet. Dies ist entscheidend für Umgebungen mit strengen Firewall-Richtlinien, NAT oder zur Implementierung von Sicherheit und Protokollierung.

Der Proxy fungiert als Application-Level Gateway (ALG), das die FTP-Protokollbefehle und -antworten versteht.

1. Client verbindet sich mit Proxy: Der FTP-Client wird so konfiguriert, dass er sich mit dem FTP-Proxyserver anstatt direkt mit dem FTP-Server verbindet.
2. Proxy verbindet sich mit FTP-Server: Der Proxy stellt im Namen des Clients eine Kontrollverbindung zum eigentlichen FTP-Server her.
3. Befehlsabfangen und -modifikation:
   • Aktiver Modus (PORT-Befehl): Wenn der Client einen PORT-Befehl sendet, gibt er seine eigene IP und seinen Port an. Der Proxy fängt dies ab, ersetzt die IP und den Port des Clients durch seine eigene IP und einen verfügbaren Port und leitet den modifizierten PORT-Befehl an den FTP-Server weiter. Der Proxy lauscht dann auf dem angegebenen Port. Wenn der FTP-Server die Datenverbindung zum Proxy initiiert, empfängt der Proxy diese und leitet die Daten an den Client weiter.
   • Passiver Modus (PASV-Befehl): Wenn der Client einen PASV-Befehl sendet, antwortet der FTP-Server mit seiner IP und seinem Port für die Datenverbindung. Der Proxy fängt diese Antwort ab, ersetzt die IP und den Port des Servers durch seine eigene öffentliche IP und einen verfügbaren Port und leitet die modifizierte Antwort an den Client weiter. Der Client initiiert dann die Datenverbindung zum Proxy, der seinerseits eine Datenverbindung zum FTP-Server herstellt und die Daten weiterleitet.

Dieser Prozess stellt sicher, dass interne Netzwerkdetails (Client-IPs, ephemere Ports) nicht extern offengelegt werden und Firewall-Regeln nur Verbindungen zum/vom Proxy zulassen müssen.

Arten von FTP-Proxys

SOCKS-Proxy

Ein SOCKS (Socket Secure)-Proxy ist ein Allzweck-Proxy, der auf Schicht 5 (Sitzungsschicht) des OSI-Modells arbeitet. Er leitet TCP-Verbindungen vom Client zum Zielserver weiter. Obwohl SOCKS die FTP-Kontrollverbindung proxen kann, ist er nicht anwendungsbewusst und kann FTP-Befehle nicht interpretieren. Das bedeutet, dass er die dynamischen Portzuweisungen für Datenverbindungen weder im aktiven noch im passiven FTP-Modus direkt handhaben kann.

• SOCKS5 für FTP: Ein SOCKS5-Proxy kann die anfängliche Kontrollverbindung erleichtern. Für die Datenverbindung muss der FTP-Client explizit so konfiguriert werden, dass er den SOCKS-Proxy für beide Kontroll- und Datenverbindungen verwendet, und der SOCKS-Proxy muss die notwendigen ausgehenden Verbindungen zulassen. SOCKS5-Proxys funktionieren oft besser mit passivem FTP, wenn der Client so konfiguriert werden kann, dass er beide Verbindungen über SOCKS tunnelt.

Application-Level Gateway (ALG) / Dedizierter FTP-Proxy

Ein Application-Level Gateway (ALG) oder dedizierter FTP-Proxy ist protokollbewusst. Er versteht die Nuancen des FTP-Protokolls, einschließlich der PORT- und PASV-Befehle. Dies ermöglicht es ihm, IP-Adressen und Portnummern im FTP-Kontrollkanal dynamisch umzuschreiben, um den Aufbau der Datenverbindung effektiv zu verwalten. Firewalls enthalten oft FTP-ALGs, um FTP-Verkehr ohne komplexe manuelle Portweiterleitung durch sie hindurchzulassen.

Transparenter FTP-Proxy

Ein transparenter FTP-Proxy fängt FTP-Verkehr ab, ohne dass der Client explizit für die Verwendung eines Proxys konfiguriert werden muss. Dies wird typischerweise durch das Weiterleiten des Netzwerkverkehrs über den Proxyserver erreicht, oft unter Verwendung von Firewall-Regeln (z. B. Umleiten des Port-21-Verkehrs zum Proxy). Der Client glaubt, er verbinde sich direkt mit dem FTP-Server. Der Proxy führt dann die gleiche Befehlsabfangung und -umschreibung wie ein dedizierter FTP-Proxy durch.

Vorteile der Verwendung eines FTP-Proxys

• Firewall-Durchquerung: Ermöglicht FTP-Clients hinter Firewalls oder NAT-Geräten, sich mit externen FTP-Servern zu verbinden und umgekehrt, indem die Aushandlung der Datenverbindung vermittelt wird.
• Sicherheit:
  • Anonymität: Verbirgt die tatsächliche IP-Adresse des Clients vor dem FTP-Server.
  • Zugriffskontrolle: Zentralisierte Verwaltung, wer auf welche FTP-Server oder Ressourcen zugreifen kann.
  • Inhaltsprüfung: Einige fortgeschrittene Proxys können übertragene Dateien auf Malware oder Richtlinienverstöße überprüfen (obwohl dies bei einfachen FTP-Proxys seltener ist).
• NAT-Durchquerung: Löst Probleme, bei denen FTP-Befehle nicht-routingfähige private IP-Adressen enthalten.
• Protokollierung und Überwachung: Zentralisierte Protokollierung aller FTP-Sitzungen, einschließlich ausgegebener Befehle und übertragener Dateien, für Sicherheitsaudits und Compliance.
• Caching: Einige Proxys können häufig aufgerufene Dateien zwischenspeichern, was die Leistung bei nachfolgenden Anfragen verbessert (weniger verbreitet bei traditionellen FTP-Proxys, aber möglich).

Herausforderungen und Überlegungen

• Leistungs-Overhead: Der Proxy führt einen zusätzlichen Hop und eine Verarbeitungsschicht ein, was potenziell die Latenz erhöht und den Durchsatz im Vergleich zu einer direkten Verbindung reduziert.
• Konfigurationskomplexität: Das Einrichten und Warten eines FTP-Proxys, insbesondere für komplexe Netzwerktopologien, kann kompliziert sein.
• Kompatibilitätsprobleme: Nicht-standardmäßige FTP-Clients oder -Server oder solche, die nicht-standardmäßige Portbereiche verwenden, können auf Probleme stoßen, wenn das ALG des Proxys nicht robust genug ist.
• FTPS (FTP über SSL/TLS):
  • Explizites FTPS: Die Kontrollverbindung beginnt ungesichert und wird dann mit AUTH TLS oder AUTH SSL auf TLS aktualisiert. Die Datenverbindung ist ebenfalls verschlüsselt. Ein FTP-Proxy oder ALG muss die TLS-Sitzung verstehen und beenden (als Man-in-the-Middle agieren), um Befehle zu inspizieren und umzuschreiben. Dies erfordert, dass der Proxy das Serverzertifikat besitzt oder ein eigenes ausstellt, dem die Clients vertrauen müssen.
  • Implizites FTPS: Die gesamte FTP-Sitzung (Kontrolle und Daten) ist von Anfang an verschlüsselt, typischerweise auf Port 990. Ein FTP-Proxy kann die Befehle des Kontrollkanals nicht inspizieren oder modifizieren, da sie verschlüsselt sind. In diesem Szenario fungiert der Proxy als einfacher TCP-Tunnel und verliert seine Anwendungsebene-Intelligenz. Oft wird ein SOCKS-Proxy oder eine einfache Portweiterleitung für implizites FTPS verwendet.
• Ressourcenverbrauch: Dedizierte FTP-Proxys können erhebliche CPU- und Speicherressourcen verbrauchen, insbesondere bei einer hohen Anzahl gleichzeitiger Verbindungen oder großen Dateiübertragungen.

Clientseitige Konfigurationsbeispiele

Die meisten FTP-Clients unterstützen die Proxy-Konfiguration. Dies beinhaltet typischerweise die Angabe der IP-Adresse und des Ports des Proxyservers.

Verwendung von Umgebungsvariablen (für Kommandozeilen-Clients wie ftp oder wget):

export ftp_proxy="http://proxy.example.com:8080"
export FTP_PROXY="http://proxy.example.com:8080"
# Für SOCKS-Proxy
export all_proxy="socks5://proxy.example.com:1080"

Spezifische Client-Einstellungen (konzeptionell):

• FileZilla (GUI-Client): Bearbeiten > Einstellungen > Verbindung > FTP-Proxy. Hier können Sie den Proxy-Typ auswählen (SOCKS5, HTTP 1.1, Benutzerdefiniert).
• lftp (Kommandozeilen-Client):
  set ftp:proxy-host proxy.example.com set ftp:proxy-port 8080

Proxyserver-Konfiguration (konzeptionell)

Dedizierte FTP-Proxys oder Firewalls mit FTP-ALG-Funktionen handhaben die Protokollspezifika automatisch. Für Allzweck-Proxys wie Squid könnten spezifische Konfigurationen erforderlich sein, obwohl Squid primär als HTTP/HTTPS-Proxy fungiert und über begrenzte direkte FTP-ALG-Funktionen hinausgeht, die über grundlegendes Tunneling hinausgehen.

Beispiel eines FTP-ALG in einer Firewall (konzeptionelle Syntax):

firewall {
    rule 1 {
        action accept
        source any
        destination any
        service ftp
        application-gateway ftp
    }
}

Diese Regel weist die Firewall an, ihr eingebautes FTP Application-Level Gateway auf den gesamten FTP-Verkehr anzuwenden, wodurch es Befehle zur Aushandlung der Datenverbindung inspizieren und umschreiben kann.

Vergleich: SOCKS-Proxy vs. Dedizierter FTP-Proxy