20.16 Spezialtrainer – Standardports und Dienste

SSH nutzt typischerweise:

TCP 22

SSH steht für:

Secure Shell

Nutzung:

sichere Fernadministration

verschlüsselte Kommandozeile

SFTP

Merksatz:

SSH = TCP 22.

HTTPS nutzt typischerweise:

TCP 443

HTTPS bedeutet:

HTTP über TLS

Nutzung:

verschlüsselte Webkommunikation

Merksatz:

HTTPS = TCP 443.

HTTP nutzt typischerweise:

TCP 80

Wichtig:

HTTP ist unverschlüsselt.

Besser für sensible Daten:

HTTPS über TCP 443

Merksatz:

HTTP = TCP 80.
HTTPS = TCP 443.

DNS nutzt:

UDP 53

und bei Bedarf auch:

TCP 53

Typisch:

normale DNS-Abfragen häufig UDP 53

größere Antworten,
Zonentransfers
oder bestimmte Fälle TCP 53

Merksatz:

DNS = UDP/TCP 53.

DHCP nutzt:

UDP 67 für den DHCP-Server

UDP 68 für den DHCP-Client

Merksatz:

DHCP = UDP 67 und UDP 68.

SMB nutzt typischerweise:

TCP 445

Nutzung:

Datei- und Druckfreigaben

Netzlaufwerke

Windows-Freigaben

Merksatz:

SMB = TCP 445.

RDP nutzt typischerweise:

TCP 3389

RDP steht für:

Remote Desktop Protocol

Merksatz:

RDP = TCP 3389.

NTP nutzt typischerweise:

UDP 123

NTP steht für:

Network Time Protocol

Aufgabe:

Zeitsynchronisation

Merksatz:

NTP = UDP 123.

SNMP nutzt typischerweise:

UDP 161

SNMP steht für:

Simple Network Management Protocol

Aufgabe:

Netzwerkgeräte überwachen und verwalten

Merksatz:

SNMP = UDP 161.

Merksatz:

HTTP unverschlüsselt.
HTTPS verschlüsselt mit TLS.

Merksatz:

SMTP sendet.
POP3 und IMAP empfangen.
S am Ende bedeutet verschlüsselte Variante.

SMTP steht für:

Simple Mail Transfer Protocol

Aufgabe:

E-Mails senden und zwischen Mailservern übertragen.

Typischer Port:

TCP 25

Merksatz:

SMTP sendet E-Mails.

POP3 steht für:

Post Office Protocol Version 3

Aufgabe:

E-Mails vom Server abrufen.

Typischer Port:

TCP 110

Verschlüsselte Variante:

POP3S über TCP 995

Merksatz:

POP3 ruft E-Mails ab.

IMAP steht für:

Internet Message Access Protocol

Aufgabe:

E-Mails auf dem Server abrufen und synchron verwalten.

Typischer Port:

TCP 143

Verschlüsselte Variante:

IMAPS über TCP 993

Merksatz:

IMAP synchronisiert E-Mails.

POP3:

einfacher E-Mail-Abruf

traditionell eher Herunterladen vom Server

IMAP:

serverseitige Verwaltung

Synchronisation über mehrere Geräte

Ordnerstruktur bleibt serverseitig erhalten

Merksatz:

POP3 ruft ab.
IMAP synchronisiert.

Merksatz:

FTP ist unverschlüsselt.
SFTP nutzt SSH.
FTPS ist FTP mit TLS.

FTP ist unsicher, weil es klassisch unverschlüsselt überträgt.

Risiken:

Zugangsdaten können mitgelesen werden

Daten können mitgelesen werden

Man-in-the-Middle möglich

Bessere Alternativen:

SFTP

FTPS

HTTPS-basierter Upload

Merksatz:

FTP nicht für sensible Daten verwenden.

SFTP:

Dateiübertragung über SSH

typischerweise TCP 22

FTPS:

FTP mit TLS-Verschlüsselung

basiert auf FTP

Wichtig:

SFTP und FTPS sind nicht dasselbe.

Merksatz:

SFTP = SSH.
FTPS = FTP mit TLS.

Die Angabe ist ungenau, weil nicht klar ist, ob TCP 53, UDP 53 oder beides gemeint ist.

Bei Firewall-Regeln müssen angegeben werden:

Quelle

Ziel

Protokoll

Port

Aktion

Merksatz:

Portnummer ohne TCP oder UDP ist unvollständig.

Es fehlen wichtige Angaben:

Quelle

Ziel

Protokoll

Richtung

Aktion

Zweck

Besser:

Quelle:
Internet

Ziel:
Webserver-DMZ

Protokoll:
TCP

Port:
443

Aktion:
erlauben

Zweck:
HTTPS-Zugriff

Merksatz:

Firewall-Regeln brauchen mehr als nur eine Portnummer.

LISTEN bedeutet:

Ein Dienst wartet auf eingehende Verbindungen.

Beispiel:

Webserver lauscht auf TCP 443.

Merksatz:

LISTEN = Dienst wartet auf Verbindung.

ESTABLISHED bedeutet:

Eine TCP-Verbindung besteht aktiv.

Beispiel:

Client hat eine HTTPS-Verbindung zum Server aufgebaut.

Merksatz:

ESTABLISHED = Verbindung besteht.

SYN_SENT bedeutet:

Der Client hat einen TCP-Verbindungsaufbau gestartet
und wartet auf Antwort.

Wenn es hängen bleibt, sind möglich:

Ziel nicht erreichbar

Port blockiert

Dienst antwortet nicht

Firewall blockiert

Routingproblem

Merksatz:

SYN_SENT zeigt:
Anfrage raus,
Antwort fehlt.

TIME_WAIT ist ein TCP-Zustand nach dem Schließen einer Verbindung.

Er sorgt dafür, dass verspätete Pakete einer alten Verbindung nicht mit neuen Verbindungen verwechselt werden.

Merksatz:

TIME_WAIT nach Verbindungsende ist normal.

Ping prüft ICMP. TCP 22 ist SSH.

Mögliche Ursachen:

SSH-Dienst läuft nicht

SSH lauscht auf anderem Port

lokale Firewall blockiert

Netzwerkfirewall blockiert

Zugriff nur aus bestimmten Netzen erlaubt

Dienst lauscht nur auf localhost

Merksatz:

Host erreichbar heißt nicht:
Dienst erreichbar.

Prüfen:

öffentliche IP

DNS

Portweiterleitung

Router-Firewall

lokale Firewall

Dienststatus

doppeltes NAT

CGNAT

Provider blockiert Port

Merksatz:

Intern ja,
extern nein:
NAT,
Firewall,
DNS
und öffentliche IP prüfen.

127.0.0.1 ist localhost.

Wenn ein Dienst nur auf 127.0.0.1 lauscht, ist er nur lokal auf dem Server erreichbar.

Andere Geräte können ihn nicht direkt erreichen.

Prüfen:

Bind-Adresse

Dienstkonfiguration

Firewall

Merksatz:

127.0.0.1 = nur lokal.

0.0.0.0 bedeutet bei einem lauschenden Dienst:

Der Dienst lauscht auf allen IPv4-Schnittstellen des Systems.

Wichtig:

Ob der Dienst erreichbar ist,
hängt zusätzlich von Firewall,
Routing,
NAT
und Berechtigungen ab.

Merksatz:

0.0.0.0 = alle IPv4-Interfaces.

ping prüft ICMP-Erreichbarkeit.

ping prüft nicht:

TCP-Port

UDP-Port

Dienststatus

Anwendung

Anmeldung

Berechtigungen

Beispiel:

Ein Server kann auf ping antworten,
obwohl TCP 443 blockiert ist.

Merksatz:

ping prüft den Host,
nicht den Dienst.

Mögliche Prüfungen:

Dienststatus prüfen

Firewall-Logs prüfen

Porttest vom Client aus

ss oder netstat auf dem Server

curl für HTTP/HTTPS

Verbindungsprüfung mit geeigneten Tools

Logs des Dienstes prüfen

Wichtig:

Immer TCP oder UDP beachten.

Merksatz:

Portprüfung braucht Richtung,
Ziel,
Protokoll
und Dienststatus.

RDP ist ein häufiges Angriffsziel.

Risiken:

Brute Force

Credential Stuffing

Exploits

unberechtigter Fernzugriff

Besser:

VPN

RDP-Gateway

MFA

Zugriff nur von bekannten Quellnetzen

Logging

Merksatz:

RDP nicht offen ins Internet stellen.

SMB ist für Datei- und Druckfreigaben gedacht und sollte nicht öffentlich erreichbar sein.

Risiken:

Datenabfluss

Malware-Ausbreitung

Brute Force

Ausnutzung von Schwachstellen

Zugriff auf interne Freigaben

Merksatz:

SMB gehört nicht offen ins Internet.

Telnet überträgt unverschlüsselt.

Risiken:

Zugangsdaten können mitgelesen werden

Sitzungen können mitgelesen werden

Man-in-the-Middle-Angriffe möglich

Sichere Alternative:

SSH

Merksatz:

Telnet unsicher,
SSH sicherer.

Merksatz:

Unverschlüsselte Dienste vermeiden,
wenn sensible Daten übertragen werden.

Möglicherweise fehlt:

UDP 53

und je nach Fall auch:

TCP 53

Saubere Regel:

Quelle:
Clientnetz

Ziel:
DNS-Server

Protokoll:
UDP und TCP

Port:
53

Aktion:
erlauben

Merksatz:

DNS braucht meistens UDP 53,
TCP 53 mitdenken.

Relevant sind:

UDP 67

UDP 68

Zusätzlich prüfen:

DHCP-Server

VLAN

DHCP-Relay

DHCP-Scope

Firewall-Regeln

Merksatz:

DHCP = UDP 67 und 68.

B ist besser.

Begründung:

Die Antwort unterscheidet Host-Erreichbarkeit
und Dienst-Erreichbarkeit.

Merksatz:

ping ist kein Diensttest.

B ist besser.

Begründung:

Die Antwort erklärt fachlich,
welche Angaben in einer Regel fehlen.

Merksatz:

Firewall-Regel vollständig formulieren.