Freigeben über

FTP-Firewallunterstützung <firewallSupport>

  • Artikel

Übersicht

Das <system.ftpServer/firewallSupport>-Element wird zum Konfigurieren des Portbereichs verwendet, den der FTP-Dienst für Datenkanalaktivitäten nutzt, wenn Sie den FTP PASV-Befehl verwenden, um passive Verbindungen auszuhandeln. Es enthält IP-Adresse und Port des Servers.

Wenn passive Verbindungen mit dem FTP PASV-Befehl ausgehandelt werden, sendet der FTP-Server eine Antwort, die die IP-Adresse und den Port des Servers enthält. Durch Angeben der Attribute lowDataChannelPort und highDataChannelPort können Sie FTP-Clients anleiten, mit Ihrer Firewall zu kommunizieren, wodurch der Clientdatenverkehr an Ihren FTP-Server weitergeleitet werden sollte.

Der gültige Bereich für TCP/IP-Ports ist 1025 bis 65535. (Ports von 1 bis 1024 sind für die Nutzung durch Systemdienste reserviert.) Sie können einen speziellen Portbereich von „0-0“ eingeben, um den FTP-Server für die Verwendung des Bereichs für kurzlebige TCP/IP-Ports von Windows zu konfigurieren. In frühen Versionen von Windows wurde der Bereich für kurzlebige TCP/IP-Ports auf die Ports 1025 bis 5000 festgelegt. Ab Windows Vista und Windows Server 2008 wurde der Bereich für kurzlebige TCP/IP-Ports in 49152 bis 65535 geändert. Weitere Informationen zum Bereich kurzlebiger Ports finden Sie im folgenden Artikel in der Microsoft Knowledge Base:

929851: Der dynamische Portbereich für TCP/IP hat sich in Windows Vista und Windows Server 2008 geändert.

Hinweis

Sie können mit <ftpServer/firewallSupport> die externe IP-Adresse für Ihre Firewall pro Site für Ihre Firewall konfigurieren. Dadurch können Sie den Firewalldatenverkehr für jede Site über eine andere Firewall weiterleiten.

Kompatibilität

Version Hinweise
IIS 10.0 Das <firewallSupport>-Element wurde in IIS 10.0 nicht geändert.
IIS 8.5 Das <firewallSupport>-Element wurde in IIS 8.5 nicht geändert.
IIS 8.0 Das <firewallSupport>-Element wurde in IIS 8.0 nicht geändert.
IIS 7.5 Das <firewallSupport>-Element des <system.ftpServer>-Elements wird als Feature von IIS 7.5 bereitgestellt.
IIS 7.0 Das <firewallSupport>-Element des <system.ftpServer>-Elements wurde in FTP 7.0 als separater Download für IIS 7.0 eingeführt.
IIS 6.0 Das <firewallSupport>-Element ersetzt die Metabasiseigenschaft MSFTPSVC/PassivePortRange von IIS 6.0.

Hinweis

Die Dienste FTP 7.0 und FTP 7.5 waren nicht im Lieferumfang von IIS 7.0 enthalten, daher mussten die Module unter der folgenden URL heruntergeladen und installiert werden:

https://www.iis.net/expand/FTP

Bei Windows 7 und Windows Server 2008 R2 wird der FTP 7.5-Dienst als Feature für IIS 7.5 bereitgestellt, sodass das Herunterladen des FTP-Diensts nicht mehr erforderlich ist.

Setup

Um die FTP-Veröffentlichung für Ihren Webserver zu unterstützen, müssen Sie den FTP-Dienst installieren. Führen Sie dazu die folgenden Schritte aus:

Windows Server 2012 oder Windows Server 2012 R2

  1. Klicken Sie auf der Taskleiste auf Server-Manager.

  2. Klicken Sie im Server-Manager auf das Menü Verwalten und dann auf Rollen und Features hinzufügen.

  3. Klicken Sie im Assistenten zum Hinzufügen von Rollen und Features auf Weiter. Wählen Sie den Installationstyp aus, und klicken Sie auf Weiter. Wählen Sie den Zielserver aus, und klicken Sie auf Weiter.

  4. Erweitern Sie auf der Seite Serverrollen den Eintrag Webserver (IIS), und wählen Sie dann FTP-Server aus.

    Hinweis

    Um die Authentifizierung mittels ASP.NET-Mitgliedschaft oder IIS-Manager für den FTP-Dienst zu unterstützen, müssen Sie zusätzlich zu FTP-Dienst die Option FTP-Erweiterbarkeit auswählen.
    Screenshot of F T P service and F T P Extensibility selected under F T P Server in the expanded Web Server (I I S) list.

  5. Klicken Sie auf Weiter, und wählen Sie dann auf der Seite Features auswählen erneut Weiter aus.

  6. Klicken Sie auf der Seite Installationsauswahl bestätigen auf Installieren.

  7. Klicken Sie auf der Seite Ergebnisse auf Schließen.

Windows 8 oder Windows 8.1

  1. Klicken Sie auf dem Startbildschirm in der unteren linken Ecke mit der rechten Maustaste auf die Schaltfläche Start, und klicken Sie dann auf Systemsteuerung.

  2. Klicken Sie in der Systemsteuerung auf Programme und Features und dann auf Windows-Features aktivieren oder deaktivieren.

  3. Erweitern Sie Internetinformationsdienste, und wählen Sie dann FTP-Server aus.

    Hinweis

    Um die Authentifizierung mittels ASP.NET-Mitgliedschaft oder IIS-Manager für den FTP-Dienst zu unterstützen, müssen Sie auch FTP-Erweiterbarkeit auswählen.
    Screenshot of F T P Extensibility and F T P Service selected in a Windows 8 interface.

  4. Klicken Sie auf OK.

  5. Klicken Sie auf Schließen.

Windows Server 2008 R2

  1. Klicken Sie auf der Taskleiste auf Start, zeigen Sie auf Verwaltung, und klicken Sie dann auf Server-Manager.

  2. Erweitern Sie im Hierarchiebereich des Server-Managers den Eintrag Rollen, und klicken Sie dann auf Webserver (IIS).

  3. Scrollen Sie im Bereich Webserver (IIS) zum Abschnitt Rollendienste, und klicken Sie dann auf Rollendienste hinzufügen.

  4. Erweitern Sie auf der Seite Rollendienste auswählen des Assistenten zum Hinzufügen von Rollendiensten den Eintrag FTP-Server.

  5. Wählen Sie FTP-Dienst aus.

    Hinweis

    Um die Authentifizierung mittels ASP.NET-Mitgliedschaft oder IIS-Manager für den FTP-Dienst zu unterstützen, müssen Sie auch FTP-Erweiterbarkeit auswählen.
    Screenshot of F T P Service and F T P Extensibility selected under the expanded F T P server list.

  6. Klicken Sie auf Weiter.

  7. Klicken Sie auf der Seite Installationsauswahl bestätigen auf Installieren.

  8. Klicken Sie auf der Seite Ergebnisse auf Schließen.

Windows 7

  1. Klicken Sie auf der Taskleiste auf Start und dann auf Systemsteuerung.

  2. Klicken Sie in der Systemsteuerung auf Programme und Features und dann auf Windows-Features aktivieren oder deaktivieren.

  3. Erweitern Sie Internetinformationsdienste und dann FTP-Server.

  4. Wählen Sie FTP-Dienst aus.

    Hinweis

    Um die Authentifizierung mittels ASP.NET-Mitgliedschaft oder IIS-Manager für den FTP-Dienst zu unterstützen, müssen Sie auch FTP-Erweiterbarkeit auswählen.
    Screenshot of F T P Extensibility and F T P Service selected in a Windows 7 interface.

  5. Klicken Sie auf OK.

Windows Server 2008 oder Windows Vista

  1. Laden Sie das Installationspaket unter der folgenden URL herunter:

  2. Befolgen Sie die Anweisungen in der folgenden exemplarischen Vorgehensweise, um den FTP-Dienst zu installieren:

Gewusst wie

Konfigurieren der globalen Firewalleinstellungen für den FTP-Dienst

  1. Öffnen Sie Internetinformationsdienste-Manager (IIS-Manager):

    • Vorgehensweise unter Windows Server 2012 oder Windows Server 2012 R2:

      • Klicken Sie auf der Taskleiste auf Server-Manager, dann auf Tools und danach auf Internetinformationsdienste-Manager (IIS-Manager).

    • Vorgehensweise unter Windows 8 oder Windows 8.1:

      • Halten Sie die WINDOWS-TASTE gedrückt, drücken Sie den Buchstaben X, und klicken Sie dann auf Systemsteuerung.
      • Klicken Sie auf Verwaltung, und doppelklicken Sie dann auf Internetinformationsdienste-Manager (IIS-Manager).

    • Vorgehensweise unter Windows Server 2008 oder Windows Server 2008 R2:

      • Klicken Sie auf der Taskleiste auf Start, zeigen Sie auf Verwaltung, und klicken Sie dann auf Internetinformationsdienste-Manager (IIS-Manager).

    • Vorgehensweise unter Windows Vista oder Windows 7:

      • Klicken Sie auf der Taskleiste auf Start und dann auf Systemsteuerung.
      • Doppelklicken Sie auf Verwaltung und dann auf Internetinformationsdienste-Manager (IIS-Manager).

  2. Klicken Sie im Bereich Verbindungen auf den Servernamen.

  3. Doppelklicken Sie im Bereich Start auf das Feature FTP-Firewallunterstützung.

  4. Verwenden Sie im Feld Datenkanal-Portbereich eine der folgenden Optionen, um einen Portbereich für passive Datenkanalverbindungen einzugeben:

    • Verwenden Sie [unterer Port]–[oberer Port] für einen Portbereich, wobei die einzelnen Ports zwischen 1025 und 65535 liegen müssen. Beispiel: 5000–6000.
    • Verwenden Sie „0-0“, um den FTP-Server für die Verwendung des Bereichs für kurzlebige TCP/IP-Ports von Windows zu konfigurieren.
      Screenshot of setting the F T P Firewall Support Data Channel Port Range to a value of 0 dash 0.

  5. Geben Sie in das Feld Externe IP-Adresse der Firewall die IPv4-Adresse des Netzwerkadapters mit Internetzugriff Ihrer Firewall ein.

  6. Klicken Sie im Bereich Aktionen auf Übernehmen.

Weitere Informationen zum Konfigurieren der Firewalleinstellungen für den FTP-Dienst finden Sie im folgenden Thema auf der Microsoft iis.net-Website:

Konfigurieren von FTP-Firewalleinstellungen
https://www.iis.net/learn/publish/using-the-ftp-service/configuring-ftp-firewall-settings-in-iis-7

Konfiguration

Das <firewallSupport>-Element wird auf globaler Ebene in der Datei „ApplicationHost.config“ konfiguriert.

Attribute

Attribut Beschreibung
lowDataChannelPort Optionales Int-Attribut.

Gibt den niedrigsten Port für Datenkanalaktivitäten für passive Datenverbindungen an.

Der Standardwert ist 0.
highDataChannelPort Optionales Int-Attribut.

Gibt den niedrigsten Port für Datenkanalaktivitäten für passive Datenverbindungen an.

Der Standardwert ist 0.

Untergeordnete Elemente

Keine.

Konfigurationsbeispiel

Im folgenden Beispiel werden mehrere Konfigurationseinstellungen im globalen <system.ftpServer>-Element für einen Server veranschaulicht. Genauer gesagt zeigen die Einstellungen in diesem Beispiel Folgendes:

  • Aktivieren der Zwischenspeicherung von FTP-Anmeldeinformationen und Angeben eines Timeouts von 10 Minuten (600 Sekunden)

  • Konfigurieren des unteren Ports als 5000 und des oberen Ports als 6000 für die Datenkanalkommunikation

  • Aktivieren der Protokollierung und Angeben, dass Protokolldateien pro Site gespeichert und täglich (UTC-Zeit) rotiert werden

  • Angeben eines benutzerdefinierten FTP-Anbieters und eines benutzerdefinierten Parameter für diesen Anbieter

  • Angeben lokaler IP-Einschränkungen, die den FTP-Zugriff vom lokalen Host zulassen und den Zugriff auf den IP-Adressblock 169.254.0.0 bis 169.254.255.255 verweigern

  • Konfigurieren der Anforderungsfilterung mit den folgenden Optionen:

    • FTP-Zugriff auf das virtuelle Verzeichnis „_vti_bin“ blockieren, das mit den FrontPage-Servererweiterungen (FPSE) verwendet wird
    • Mehrere Dateitypen blockieren, die ausführbaren Dateien zugeordnet sind
    • 100 MB als maximale Dateigröße angeben

  • Hinzufügen einer globalen Autorisierungsregel, die den Zugriff für die Administratorgruppe zulässt

  • Angeben, dass die Domänennamensyntax für virtuelle FTP-Hostnamen verwendet werden kann

<system.ftpServer>
   <caching>
      <credentialsCache enabled="true" flushInterval="600" />
   </caching>
   <firewallSupport lowDataChannelPort="5000" highDataChannelPort="6000" />
   <log centralLogFileMode="Site">
      <centralLogFile period="Daily" localTimeRollover="false" enabled="true" />
   </log>
   <providerDefinitions>
      <add name="FtpXmlAuthentication"
         type="FtpXmlAuthentication, FtpXmlAuthentication, version=1.0.0.0, Culture=neutral, PublicKeyToken=426f62526f636b73" />
      <activation>
         <providerData name="FtpXmlAuthentication">
            <add key="xmlFileName" value="C:\Inetpub\XmlSample\Users.xml" />
         </providerData>
      </activation>
   </providerDefinitions>
   <security>
      <ipSecurity enableReverseDns="false" allowUnlisted="true">
         <add ipAddress="169.254.0.0" subnetMask="255.255.0.0" allowed="false" />
         <add ipAddress="127.0.0.1" allowed="true" />
      </ipSecurity>
      <requestFiltering>
         <hiddenSegments>
            <add segment="_vti_bin" />
         </hiddenSegments>
         <fileExtensions allowUnlisted="true">
            <add fileExtension="exe" allowed="false" />
            <add fileExtension="cmd" allowed="false" />
            <add fileExtension="com" allowed="false" />
            <add fileExtension="bat" allowed="false" />
         </fileExtensions>
         <requestLimits maxAllowedContentLength="104857600" />
      </requestFiltering>
      <authorization>
         <add accessType="Allow" roles="administrators" permissions="Read, Write" />
      </authorization>
   </security>
   <serverRuntime>
      <hostNameSupport useDomainNameAsHostName="true" />
   </serverRuntime>
</system.ftpServer>

Beispielcode

In den folgenden Beispielen wird der FTP-Dienst so konfiguriert, dass der Portbereich 5000 bis 6000 für Datenkanalaktivitäten verwendet wird, wenn passive Verbindungen verwendet werden.

AppCmd.exe

appcmd.exe set config -section:system.ftpServer/firewallSupport /lowDataChannelPort:"5000" /commit:apphost

appcmd.exe set config -section:system.ftpServer/firewallSupport /highDataChannelPort:"6000" /commit:apphost

Hinweis

Legen Sie den commit-Parameter auf apphost fest, wenn Sie „AppCmd.exe“ verwenden, um diese Einstellungen zu konfigurieren. Dadurch werden die Konfigurationseinstellungen auf den entsprechenden Speicherortabschnitt in der Datei „ApplicationHost.config“ festgelegt.

C#

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample
{
   private static void Main()
   {
      using (ServerManager serverManager = new ServerManager())
      {
         Configuration config = serverManager.GetApplicationHostConfiguration();

         ConfigurationSection logSection = config.GetSection("system.ftpServer/log");
         logSection["centralLogFileMode"] = @"Central";

         ConfigurationElement centralLogFileElement = logSection.GetChildElement("centralLogFile");
         centralLogFileElement["enabled"] = true;

         serverManager.CommitChanges();
      }
   }
}

VB.NET

Imports System
Imports System.Text
Imports Microsoft.Web.Administration

Module Sample
   Sub Main()
      Dim serverManager As ServerManager = New ServerManager
      Dim config As Configuration = serverManager.GetApplicationHostConfiguration

      Dim firewallSupportSection As ConfigurationSection = config.GetSection("system.ftpServer/firewallSupport")
      firewallSupportSection("lowDataChannelPort") = 5000
      firewallSupportSection("highDataChannelPort") = 6000

      serverManager.CommitChanges()
   End Sub
End Module

JavaScript

var adminManager = new ActiveXObject('Microsoft.ApplicationHost.WritableAdminManager');
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST";

var firewallSupportSection = adminManager.GetAdminSection("system.ftpServer/firewallSupport", "MACHINE/WEBROOT/APPHOST");
firewallSupportSection.Properties.Item("lowDataChannelPort").Value = 5000;
firewallSupportSection.Properties.Item("highDataChannelPort").Value = 6000;

adminManager.CommitChanges();

VBScript

Set adminManager = createObject("Microsoft.ApplicationHost.WritableAdminManager")
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST"

Set firewallSupportSection = adminManager.GetAdminSection("system.ftpServer/firewallSupport", "MACHINE/WEBROOT/APPHOST")
firewallSupportSection.Properties.Item("lowDataChannelPort").Value = 5000
firewallSupportSection.Properties.Item("highDataChannelPort").Value = 6000

adminManager.CommitChanges()