Sophos UTM can't connect to FTP via TLS

Hi Dieter,

I guess you only have a firewall rule which allows FTP from Internal to Internet.

The problem lies in the FTP-protocol itself. In a normal (not TLS) active FTP-connection, the client tells the server in a control-session (Port 21) on which high port he awaits the data. The Firewall listens to this control-session and opens this ports. If the control-session is encrypted, the firewall can't see this negotiation and therefore don't open the ports. This will only work if you open all TCP-Highports from Internal to the Internet and switch the client to passive mode (which reverse the initiation of data-connection).

In my opinion "TLS-enhanced FTP" is a bad hack, use SFTP (based on ssh) instead.

Hi Dieter,

I guess you only have a firewall rule which allows FTP from Internal to Internet.

The problem lies in the FTP-protocol itself. In a normal (not TLS) active FTP-connection, the client tells the server in a control-session (Port 21) on which high port he awaits the data. The Firewall listens to this control-session and opens this ports. If the control-session is encrypted, the firewall can't see this negotiation and therefore don't open the ports. This will only work if you open all TCP-Highports from Internal to the Internet and switch the client to passive mode (which reverse the initiation of data-connection).

In my opinion "TLS-enhanced FTP" is a bad hack, use SFTP (based on ssh) instead.

Hallo Herr Bergmann,

das ging ja schnell und hat mir zumindest hierzu eine Lösung gegeben! Über SFTP/SSH funktioniert es einwandfrei. DANKE!

Jetzt stellt sich für mich die Frage falls ich diese option nicht habe, was ich in Zukunft dann machen würde oder kann.

Das mit den Highports ist ja in diesem Fall wahrsch der Port 57111 oder 50201. Wenn ich diese öffne, bzw. wenn diese offen sind sollte es auch mit TLS funktionieren? Zumindest habe ich das aus deinem Beitrag so verstanden.

Dann müsste ich mal schauen wie man diese öffnet, weil diese ändern sich ja mit jedem Verbindungsaufbau ständig.

Also so kriege ich auch eine Verbindung via TLS mit den High Ports. Aber bis auf die FTP mit TLS Verbindung die ja nicht so sicher ist wie die SFTP mit verschlüsselung ist so eine Konfiguration ja jetzt völlig fahrlässig oder?

Das sind ja jetzt alle Ports von 1-65535 offen.

Wie kann man sowas eleganter lösen?

Hi Dieter,

I antworte in Englisch, weil das die Sprache in dem Forum ist.

The ports will be different on every FTP-Session. So you only have the option to allow all TCP-highports (add new Service "AnyTCP": Type TCP, Destination Port 1024:65535) from Internal to Internet.

There is no other solution. As said, try to avoid TLS-FTP, because it's not compatible with any stateful firewall. Use SFTP.

Hallo Dieter,

willst Du es eleganter lösen, musst Du auf deinem FTP Server die Datenports festlegen z.B. 50000-51000.

Anschließend kannst Du auf deiner UTM eine Definition erstellen, die diese Datenports enthält.

Dann benötigst Du nur Port 21 und die Datenports in der Regel beachten.

Gruß
DKKDG

As you said, this only works if you have admin-access to all FTP-servers which your users need with TLS-FTP.

Try to avoid this crappy protocols, finally you make giant punchholes in your firewall. Use SFTP (over and out :-)

@ DKKDG 

Danke dir für den Tipp! Das wäre ein guter Weg für eine Notlösung! :-)

@ JosefBergmann

I will use only SFTP in the future! Best thanks for this way, because i have forgotten that this is one more way to establish a FTP connection. And it works perfect with the Firewall!

Thanks a lot for this fast and perfect HELP from you Guys!!!