Gesperrte Ports
Ein Proxyanbieter kann Verbindungen zu bestimmten Netzwerkports verbieten. Er kann beispielsweise das Surfen im Web erlauben und zugleich Verbindungen zu Ports für den E-Mail-Versand ablehnen. Der Proxy nimmt die Verbindung des Kunden weiterhin an, baut aber die angeforderte Verbindung zum Mailserver nicht auf.
Portbeschränkungen gehören zu den Nutzungslimits bei Proxys, die bestimmen, welche Aufgaben ein Dienst ausführen kann. Um ihre Wirkung zu verstehen, müssen Sie zwischen der Verbindung zum Proxy und der Verbindung unterscheiden, die der Proxy für Sie herstellt.
Welcher Port wird gesperrt?
Ein Netzwerkport ist eine Nummer, mit der Dienste an einer Netzwerkadresse unterschieden werden. Derselbe Server kann Webverbindungen auf einem Port und Verbindungen zu einer anderen Anwendung auf einem anderen Port annehmen. Eine Anwendung benötigt die Serveradresse, den passenden Port und das verwendete Transportprotokoll: TCP oder UDP.
Eine Proxyverbindung hat zwei getrennte Ziele. Zuerst verbindet sich Ihre Anwendung mit dem Proxy über die vom Anbieter angegebene Adresse und Portnummer. Dann fordert sie den Proxy auf, den Zielserver unter dessen Adresse und Port zu erreichen. Der Port in Ihren Proxyeinstellungen gehört zum ersten Schritt; eine Zielportbeschränkung betrifft den zweiten.
Ein Programm kann sich beispielsweise mit proxy.example:1080 verbinden und portal.example:443 anfordern. Derselbe Proxyeingang kann auch eine Anfrage für mail.example:587 empfangen. Erlaubt der Anbieter den ersten Zielport und sperrt den zweiten, kann die Webverbindung gelingen, während die Mailverbindung abgelehnt wird.
Diese Einschränkungen betreffen ausgehende Verbindungen vom Proxy zu externen Diensten. Eine solche Freigabe stellt einer Anwendung auf Ihrem Computer keinen eingehenden Port bereit, den andere Internetnutzer erreichen können. Die Weiterleitung eingehender Ports ist eine separate Funktion.
Warum Anbieter Ports einschränken
Der offensichtlichste Grund ist die Verhinderung des Missbrauchs eines bestimmten Dienstes. Direkter Zugriff auf Mailserver kann für Spamkampagnen genutzt werden. Beschwerden und Absender-Sperrlisten betreffen die IP-Adressen, über die der Traffic läuft. Die Folgen können daher über den Kunden hinausreichen, der die Nachrichten versendet hat. Ein Anbieter kann das Risiko senken, indem er Verbindungen zu Mailversandports vor der Übermittlung von Nachrichten ablehnt.
Ähnliche Überlegungen können für Fernadministration, Dateifreigaben oder Datenbankdienste gelten. Ein Anbieter kann zugehörige Ports einschränken, um unbefugte Anmeldeversuche und andere Angriffe zu reduzieren. Die Einschränkung gilt für die Verbindung selbst: Auch ein berechtigter Administrator erreicht über dieses Produkt möglicherweise seinen eigenen Server nicht.
Die Regel stammt nicht immer vom Proxyverkäufer. Ein Hostingunternehmen oder Netzbetreiber kann ausgehende Verbindungen der Proxyinfrastruktur filtern. Eine Freigabe in der Proxysoftware kann eine weiter auf dem Netzwerkpfad geltende Einschränkung nicht aufheben.
Ein Portfilter ist eine weitreichende Maßnahme. Er kann unerwünschten Traffic stoppen, ohne jede Nachricht zu untersuchen oder jeden einzelnen Vorgang auf seine Berechtigung zu prüfen. Zugleich beschränkt er nützliche Anwendungen, die denselben Port benötigen. Diese Abwägung erklärt, warum ein Anbieter einen Port auch für zahlende Kunden mit einer nachvollziehbaren Aufgabe gesperrt lassen kann.
Wie Portzugriffsregeln funktionieren
Es gibt zwei grundlegende Ansätze. Eine Sperrliste nennt die nicht erlaubten Ports; andere Verbindungen unterliegen den übrigen Dienstregeln. Eine Zulassungsliste funktioniert umgekehrt: Der Anbieter erlaubt eine festgelegte Menge von Ports und lehnt alle anderen ab. Im zweiten Modell kann eine normale Webanwendung auf einem unüblichen Port allein deshalb unerreichbar sein, weil ihr Port nicht zur erlaubten Menge gehört.
Eine Regel kann einen Port für alle externen Adressen sperren oder Port und bestimmtes Ziel kombinieren. Anbieter können außerdem unterschiedliche Regeln auf Produkte oder genehmigte Nutzungen anwenden. Der Zugriff über ein Netzwerk belegt deshalb nicht die Freigaben eines anderen Produkts desselben Unternehmens.
Der Proxy muss den Anwendungstraffic nicht entschlüsseln, um eine Zielportregel durchzusetzen. Bei einer HTTP-CONNECT-Anfrage nennt der Client Zielhost und Port. Auch SOCKS5 übermittelt das angeforderte Ziel in der Verbindungsanfrage. Der Proxy kann sie ablehnen, bevor eine geschützte Sitzung mit dem Zielserver beginnt.
TCP- und UDP-Traffic mit derselben Portnummer können getrennt erlaubt oder gesperrt werden. Eine erfolgreiche Verbindung zu TCP-Port 443 beweist nicht, dass UDP-Port 443 verfügbar ist. Eine weitere Möglichkeit ist, dass das ausgewählte Proxyprodukt überhaupt kein UDP überträgt. Dann betrifft die Einschränkung das Transportprotokoll und nicht einen einzelnen UDP-Port.
Eine Portnummer allein beweist auch nicht, was eine Anwendung tut. Dienste können auf unüblichen Ports laufen; eine erlaubte Nummer macht nicht jede Nutzung zulässig. Anbieter können Portfilter mit Zielbeschränkungen und Regeln für die Tätigkeit selbst kombinieren.
Was sich für Anwendungen ändert
Anwendungen verwenden Verbindungen für bestimmte Funktionen. Ein Browsertest prüft die dabei aufgebaute Webverbindung; er erprobt nicht jede Verbindung, die ein anderes Programm benötigt. Die folgenden Beispiele zeigen, wie eine Portbeschränkung einen ansonsten funktionierenden Dienst beeinträchtigen kann.
| Verbindung | Ports in diesem Beispiel | Auswirkung einer Sperre |
|---|---|---|
| Webzugriff über TCP | 443 | Die Seite kann über diese Verbindung nicht abgerufen werden. |
| E-Mail-Versand | TCP 25 für die Zustellung zwischen Servern; TCP 465 oder 587 für die Einlieferung durch ein Mailprogramm | Direkter Mailversand über die betroffene Verbindung ist nicht verfügbar. |
| Passives FTP | TCP 21 für Befehle und ein separater, vom Server genannter Datenport | Die Anmeldung kann funktionieren, während Verzeichnisanzeige oder Dateiübertragung scheitern. |
| Webanwendung auf einem eigenen Port | Zum Beispiel TCP 8443 | Die Anwendung kann unerreichbar sein, obwohl Websites auf TCP 443 funktionieren. |
E-Mail verdeutlicht den Unterschied besonders gut. Ein Mailprogramm liefert ausgehende Nachrichten an einen Mailserver ein, häufig auf Port 587 oder 465. Port 465 beginnt mit TLS-Verschlüsselung; Port 587 verwendet häufig STARTTLS zum Aufbau der Verschlüsselung. Eine Portbeschränkung kann beide Verbindungen vor dem Nachrichtenversand verhindern. Die Verschlüsselung schützt den Austausch, hebt aber die Zugriffsregel des Anbieters nicht auf.
Bei Webmail kommuniziert der Browser über HTTPS mit einer Website, und der Maildienst übernimmt die Zustellung. Der Browser fordert vom Proxy also nicht dieselbe SMTP-Verbindung an. Ein Webpostfach kann deshalb nutzbar bleiben, während der SMTP-Zugriff gesperrt ist. Der Empfang in einem separaten Mailprogramm ist wiederum eine andere Verbindung: IMAP- oder POP-Zugriff müssen getrennt vom Versand betrachtet werden.
FTP zeigt, warum ein reiner Anmeldetest ein Problem übersehen kann. Im passiven Modus sendet der Client zunächst Befehle über eine Verbindung und verbindet sich dann für die Datenübertragung mit einem vom Server angegebenen Port. Ist die zweite Verbindung eingeschränkt, kann die Authentifizierung funktionieren, während Dateiliste oder Download scheitern. Anwendungen mit getrennten Verbindungen für Anmeldung, Sprache oder Dateiaustausch können ähnliche Teilausfälle zeigen.
Warum geänderte Proxyeinstellungen möglicherweise nicht helfen
Eine Änderung des Eingangsports in Ihren Proxyeinstellungen ändert, wo Ihre Anwendung den Proxy kontaktiert. Sie ändert nicht den Zielport des externen Dienstes. Bietet der Anbieter einen Eingang auf Port 443 an, unterliegt eine darüber gesendete Anfrage an Mailserver-Port 587 weiterhin der Mailportbeschränkung.
Der Wechsel von einem HTTP-Proxy zu SOCKS5 kann ein Kompatibilitätsproblem lösen, wenn die Anwendung eine vom neuen Verfahren unterstützte Funktion benötigt. Er hebt jedoch nicht von selbst die Anbieterregeln auf. SOCKS5 definiert die Anforderung von TCP-Verbindungen und UDP-Weiterleitung; der Dienst entscheidet, welche Anfragen er akzeptiert.
Auch der Austausch einer Ausgangs-IP lässt eine produktweite Einschränkung bestehen. Ein anderer Netzwerkpfad kann sich anders verhalten, wenn ein bestimmtes externes Netzwerk den Fehler verursacht. Rotation beseitigt jedoch keine Regel, die für das gesamte Produkt gilt. Mehr IP-Adressen oder ein größeres Traffic-Kontingent ändern diese Freigabe ebenfalls nicht.
Wie Sie eine Portbeschränkung erkennen
Am aussagekräftigsten ist eine ausdrückliche Anbietermeldung, dass der angeforderte Zielport nicht erlaubt ist. Eine allgemeine Meldung über verweigerten Zugriff ist weniger genau. Die SOCKS5-Antwort für eine vom Regelsatz abgewiesene Anfrage zeigt beispielsweise eine regelbedingte Ablehnung, nennt aber nicht die auslösende Regel. Ein Timeout oder Verbindungsreset allein ist noch schwächerer Beleg.
Möglicherweise lauscht auf dem Zielport kein Dienst, der Zielserver akzeptiert nur bestimmte Quelladressen oder ist vorübergehend nicht verfügbar. Die Anwendung kann außerdem das falsche Protokoll verwenden oder einen Teil des Traffics am eingerichteten Proxy vorbeisenden. Eine erfolgreiche Webanfrage kann diese Ursachen nicht von einer Beschränkung einer anderen Verbindung unterscheiden.
Nennen Sie in einer Supportanfrage das Proxyprodukt, Zielhostname oder Ziel-IP, Port, TCP oder UDP, Anwendung sowie den genauen Fehler mit Zeitpunkt des Versuchs. Damit kann der Support die betreffende Verbindung prüfen, statt nur die Erreichbarkeit des Proxys zu bestätigen. Vor einem Kauf helfen dieselben Angaben zu klären, ob das Produkt die Aufgabe unterstützt.
Erlaubt der Anbieter Ausnahmen, sollte die Freigabe das benötigte Ziel und den Verwendungszweck benennen. Manche Einschränkungen sind dauerhaft oder stammen von einer Infrastruktur außerhalb seiner Kontrolle. Entscheidend ist, ob die konkrete Verbindung nach den Dienstregeln unterstützt werden kann. Eine Bitte, „alle Ports zu öffnen“, lässt sowohl Anforderungen als auch Grenzen unklar.