Firewall Ports

Eine Portnummer ist der Teil einer Netzwerkadresse, der das Betriebssystem veranlasst, TCP- und USB-Verbindungen und Datenpakete an Server- und Client-Programme zuzuweisen. Jede dieser beiden Verbindungen hat zwei Ports, einen auf der Client-Seite und einen auf der Server-Seite. Die Ports erfüllen zwei Funktionen: Ports können auch Netzprotokolle und zugehörige Netzdienste ausweisen.

Während eines Herunterladens kann ein Internetbrowser einen weiteren Abruf vom gleichen Rechner durchführen, da der Rechner dann einen anderen Rechner aufruft und eine weitere Internetverbindung zum gleichen Rechner einrichtet. Auf die verschiedenen Ports des Webbrowsers reagiert der Webserver mit verschiedenen zusammengehörenden Daten. Anschluss 25 ist für das einfache Mail-Übertragungsprotokoll ( "Simple Mail Transfer Protokoll ", SMTP) vorgesehen.

Beim Verbindungsaufbau zu Anschluss 25 eines Rechners wird diese vom SMTP-Service des Rechners akzeptiert, sofern dieser zur Verfügung steht. Startserver verlangen einige Ports vom Betriebsystem, um Anschlüsse zu akzeptieren. Es handelt sich in der Regel um''bekannte Ports'', da die Nummer des Ports hier nicht bekannt sein muss.

In der Regel verlangen Kunden vom System einen Zufallsport (meist im sehr großen Umfang über 30000), um eine Verbindung herzustellen. Ein Klient kann sich aber auch an einen spezifischen Anschluss anbinden (call bind()); dies ist z.B. für gewisse verbindungsfreie Kommunikationsprotokolle notwendig, begrenzt aber die Verwendung dieses Klientes auf einen Prozeß pro Rechner.

Die Verbindung wird vom Kunden hergestellt, der den Anschluss des Rechners kennt. Mit dem Aufbau der Verbindung lernt der Datenserver den Anschluss des Kunden, so dass er darauf reagieren kann. Wird ein " bekannter Anschluss " verwendet, wird auf der Serverseite zugleich die Anschlussnummer verändert, so dass die bekannt gewordene, genormte Anschlussnummer für neue Anschlüsse weiter zur Verfügung gestellt werden kann.

RFC 6335, ein Antrag auf Kommentare, bezeichnet seit 2011 das Vorgehen, nach dem die IANA ("Internet Assigned Numbers Authority") Ports Protokolle zuweist. Die Ports werden auch als bekannte Ports bezeichnet und sind für Services vorbehalten, wenn sie nicht bereits als "reservierte Ports" der IANA selbst vergeben wurden (z.B. für künftige Erweiterungen), was vor allem für die Intervallgrenzen (z.B.: 0, 1023, 1024) gilt, die nicht für die Servernutzung verfügbar sind.

Neuaufträge werden nur unter Teilnahme der IETF ( "Internet Engineering Task Force") erteilt. Die Ports sind für eingetragene Services gedacht, können aber auch für Client-Programme genutzt werden. Bei Client-Programmen wird die Zuweisung nicht mehr von den meisten gängigen Betriebssystemen vorgenommen, da die " Dynamic Ports " dafür bereitstehen. Die Ports werden vom Betriebsystem den Client Programmen zugewiesen.

Nachtrag: Linux-Systeme entsprechen sehr oft nicht diesem Anspruch und weisen die Client-Ports im Wertebereich zwischen 32768 und 61000 zu IANA hatte die Ports ab 1024 für Client-Programme vorbestimmt. Der Grund dafür ist, dass der Umfang der dynamischen Ports zu gering ist.

Manche NAT-Router nutzen noch tiefere Ports. Abweichende Vorgaben der IANA machen es schwierig, Kontakt aufzunehmen, ohne sie zu unterdrücken. Eine Übersicht über die Belegung gibt die Übersicht über die genormten Ports. Die Ports sind für die Protokolle und Bezeichnungen der jeweiligen Services vergeben. Die Portforwarding veranlasst die Weiterleitung eines adressierten Ports an ein anderes übergeordnetes Netzwerk über einen zweiten Anschluss.

Ein Port Lock ist das Blocken oder Abdrosseln eines spezifischen Ports oder des darauf zuzugreifenden Servicen. Die Portblockierung wird von einigen Anbietern von Internetdiensten verwendet, um ungewollte Services zu blocken. Die Ports können auch mit einer Firewall blockiert werden. Der umgekehrte Weg wird in der Regel für eine lokale Firewall verwendet: Es werden nur die wirklich erforderlichen Ports freigeschaltet und alle anderen Ports werden blockiert.

Port-Scanner werden verwendet, um Ports zu finden und können ein Zeichen für einen Angriff sein. Wenn die Firewall oder der Paket-Filter Port-Klopfen unterstützen, kann ein Port-Scan dadurch schwieriger werden, dass Ports erst dann eröffnet werden, wenn eine zuvor festgelegte Reihenfolge von Ports an sie geschickt wurde. High Jump ? Internet Engineering Task Force (Hrsg.):

Verfahren der IANA ("Internet Assigned Numbers Authority") zur Verwaltung des Dienstnamens- und Transportprotokoll-Portnummernregisters (= Best Current Practice. Bande 165).