Na których portach brama internetowa musi przepuszczać ruch, aby użytkownicy sieci lokalnej mogli pobierać pliki z serwera FTP?
A. 22 i 25
B. 80 i 443
C. 110 i 995
D. 20 i 21
Pytanie z egzaminu CKE, czerwiec 2017 (arkusz E.13-X-17.06).
Odpowiedź 20 i 21 jest zgodna z klasycznym działaniem protokołu FTP, czyli File Transfer Protocol. FTP korzysta z osobnego połączenia sterującego i osobnego połączenia danych. Port TCP 21 służy do komunikacji sterującej: logowanie użytkownika, wysyłanie komend, przechodzenie po katalogach, żądanie pobrania pliku. Port TCP 20 jest kojarzony z kanałem danych w trybie aktywnym FTP, czyli właśnie z przesyłaniem zawartości plików. Dlatego w szkolnym i egzaminacyjnym ujęciu, gdy pytanie dotyczy przepuszczania ruchu FTP przez bramę internetową lub zaporę, wskazuje się porty 20 i 21. W praktyce administrator powinien jeszcze pamiętać, że FTP bywa kłopotliwy przy NAT i firewallach, bo tryb pasywny używa dodatkowych portów danych z ustalonego zakresu po stronie serwera. Z mojego doświadczenia wynika, że właśnie to często robi problemy: logowanie działa, ale lista katalogów albo pobieranie już nie. Dobra praktyka to jawnie skonfigurować tryb pasywny na serwerze FTP, ograniczyć zakres portów pasywnych i dopiero ten zakres przepuścić na firewallu. Mimo tego, dla podstawowego pytania o standardowe porty FTP poprawną parą jest TCP 20 i TCP 21.
W tym pytaniu łatwo pomylić FTP z innymi popularnymi usługami sieciowymi, bo wiele z nich też służy do przesyłania danych przez TCP. Trzeba jednak patrzeć na konkretny protokół i jego standardowe porty, a nie tylko na ogólne skojarzenie, że coś działa przez Internet. Port 22 jest typowo używany przez SSH, a przy okazji także przez SFTP, czyli transfer plików realizowany w tunelu SSH. To nie jest klasyczny FTP. SFTP i FTP to inne protokoły, mimo podobnej nazwy, i mają inne wymagania na firewallu. Port 25 należy do SMTP, czyli wysyłania poczty elektronicznej między serwerami lub od klienta do serwera pocztowego w starszych konfiguracjach. Nie służy on do pobierania plików z serwera FTP. Porty 80 i 443 kojarzą się z WWW, czyli HTTP i HTTPS. Owszem, przez stronę internetową można pobrać plik, na przykład sterownik albo archiwum ZIP, ale wtedy nie korzystamy z FTP, tylko z usługi webowej. To jest częsty błąd myślowy: użytkownik widzi pobieranie pliku i zakłada, że każdy taki transfer to FTP. Nie, protokół ma znaczenie. Porty 110 i 995 dotyczą POP3 oraz POP3S, czyli odbierania poczty z serwera pocztowego, w drugim przypadku z szyfrowaniem TLS. One także nie mają związku ze standardowym transferem FTP. W administracji siecią dobra praktyka jest prosta: przed otwarciem reguły na bramie sprawdza się usługę, protokół transportowy, kierunek połączenia oraz porty. Dla klasycznego FTP będą to TCP 21 dla kanału sterującego i TCP 20 dla danych w trybie aktywnym, a w nowoczesnych konfiguracjach często dochodzi jeszcze kontrolowany zakres portów pasywnych.