Was mach die Firewall?

[Captnemo]

Hallo Leute,
ich habe grad eine interessante Entdeckung gemacht. Ich schreibe grad an einem Prog, welches mir Daten per FTP abholt. Ich nutze die Indy-Kompos.

Ich habe im Projekt drin:
idFtp.ChangeDir('123');
idFtp.ChangeDir('abc');
idFtp.List(vlist,'*.xyz',False);

So, das Verzeichnis "123" existiert aber auf dem FTP gar nicht. Als ich das Prog zu anfang ausporbiert habe bekam ich eine Exception, dass das Verzeichnis nicht existiert (Ist ja auch korrekt).

Dann hab ich die Zeile rausgenommen. Jetzt kommt's: Nun fragt mich die Firewall beim ausführen des Progs, ob ich den Zugriff auf's Netzwerk zulassen will.

Wie kann das denn sein? Ist ChangeDir kein Zugriff? Dass das erste Verzeichnis nicht existiert konnte mein Prog jawohl er NACH einem Internetzugriff wissen, nur kam da noch keine Meldung von der FW. Auch beim Connect keine Regung von der FW.

Achso vergessen W7 Ultimate 64bit

[Sherlock]

Ein ChangeDir lädt ja nix runter...ausser Dir-Infos.
So würd ich mir das zumindest schönreden

Sherlock

[Neutral General]

Hallo,

Ich könnte mir noch vorstellen, dass es daher kommt, dass bei einem List die Datenverbindung über Port 20 hergestellt wird. (Die gleiche Verbindung über die auch Daten/Dateien hoch/runtergeladen werden).
WARUM genau die Firewall da (erst) anschlägt kann ich aber nicht sagen.

[Morphie]

Ist es nicht so, dass die Befehle (changeDir usw.) auf Port 20 laufen, der eigentliche Transfer (Put, Get, List usw.) auf einem anderen Port?
http://upload.wikimedia.org/wikipedi...AktivesFTP.png

[Neutral General]

Port 21 Ist der Kommunikationsport. Da werden die Befehle gesendet und der FTP Server sendet darüber auch seine Statusmeldungen/antworten. Über den Port 20 werden Daten (Dateien und Directory Listings) übertragen.

[Captnemo]

Das ist ja alles schön und gut. Aber was so man von einer Firewall erwarten, die nicht an der richtigen Stelle reagiert?

Es ist ja nicht so, dass die Firewall einem melden würde, dass jetzt Daten übertragen werden bzw. was für Daten oder welchen Port, sondern meldet dass ein Programm versucht auf das Netzwerk zuzugreifen und ob der User das zulassen möchte. Bei der Fragestellung spielt es doch nun wirklich keine Rolle, was für ein Zugriff es ist und ob nun Nutzdaten übertragen werden.
Wenn MS schon so allgemein fragt, dann bitte auch schon beim ersten Zugriffsversuch.

Noch dazu, dass das für die Entwicklung irreführend ist, wenn das Connect erfolgreich ist, aber ein Transfer dann vom BS gekanzelt werden kann.

Ich meine es is schon klar, eine Firewall, die zu detailiert fragt taugt auch nix, weil jeder 08/15-User mangels wissen sowieso immer auf ja oder nein klickt. Wahrscheinlich eher auf Ja, weil er die Erfahrung gemacht hat, dass dann wenigsten alles funktioniert. Aber das ist eine andere Diskussion.

[Sir Rufo]

Kuckst du hier mal wegen Aktiv und Passiv FTP
http://de.wikipedia.org/wiki/File_Transfer_Protocol

Den Fehler macht nicht die Firewall, sondern der Ftp-Client öffnet ja den Datenkanal erst dann, wenn eine Übertragung stattfindet.

Aber für solche Szenarien gibt es den Passiv Modus

[Captnemo]

Zitat von Sir Rufo:

Den Fehler macht nicht die Firewall, sondern der Ftp-Client öffnet ja den Datenkanal erst dann, wenn eine Übertragung stattfindet.

Ich weiß nicht. Mag ja sein, dass irgendwer eine solche Verfahrensweise festgelegt hat. Nur meine Erwartung an eine Firewall ist die, dass ich eine solche Meldung bekomme, wenn eine Anwendung eine solche Verbindung anstößt, unabhäng welches Protokoll und welcher Art. So würde ICH es zumindest erwarten.

[Sir Rufo]

Zitat von Captnemo:

Zitat von Sir Rufo:

Den Fehler macht nicht die Firewall, sondern der Ftp-Client öffnet ja den Datenkanal erst dann, wenn eine Übertragung stattfindet.

Ich weiß nicht. Mag ja sein, dass irgendwer eine solche Verfahrensweise festgelegt hat. Nur meine Erwartung an eine Firewall ist die, dass ich eine solche Meldung bekomme, wenn eine Anwendung eine solche Verbindung anstößt, unabhäng welches Protokoll und welcher Art. So würde ICH es zumindest erwarten.

Du weißt aber schon, wenn es einen Lichtschalter gibt (und technisch alles einwandfrei ist), dann ändert sich der zustand des Lichts erst beim Betätigen des Schalters und nicht schon, wenn du das Zimmer betrittst.

Der normale "aktive" FTP-Modus ist halt so, dass der Client den Server auf Port 21 anspricht und mit dem so das eine oder andere verhackstückt (Verzeichnis wechseln, Abfragen ob es Datei xy gibt).

Fordert der Client jetzt eine Datei vom Server an, so öffnet der Client den Port 20 (jetzt wird der Schalter betätigt und das Licht soll angehen) und der Server verbindet sich mit diesem Port vom Client.
Und genau darüber wacht die Firewall, ob irgendwelche Programme Ports nach aussen hin öffnen.

Und weil das (wie du hier ja auch berichtest) zu einem Problem führen kann wurde der "Passive Mode" eingeführt, wo der Client sich eben anders verhält.

Ansonsten würde ich dir (zum besseren Verständnis, was beim FTP-Vorgang denn da so passiert) die entsprechenden RFCs oder sonstige Dokumentationen zum Thema FTP empfehlen.