Passiv FTP über Firewalls

Hallo zusammen

Ich habe mal wieder eine Frage, diesmal an die FTP Experten.
Wie funktioniert passives FTP über Firewalls.
FTP benötigt ja zwei Kanäle, einen Kommunikationskanal und einen Datenkanal.
Und bei passiven FTP wird die Verbindung zum Server immer vom Client aus initiiert.
Nun gibt es jedoch Firewalls, vor allem bei Unternehmen, welche von LAN-WAN nicht alles erlauben, bzw. erstmals alles zu ist und bei Bedarf geöffnet wird.
Genauso handhaben wir das in unserer Firma. Dort ist, ich habe extra noch die Firewall Policies angeschaut, für FTP von LAN-WAN nur der Port 21 geöffnet.
Um mal ganz sicher zu sein hab ich mit CurrPorts die Verbindung bei einem FTP Transfer mal angeschaut.



Und hier sieht man die für mich unverständliche Verbindung (grün).
Irgend über einen hohen Port funktioniert der Datentransfer auf meinen Home FTP Server, obwohl die Firewall im Unternehmen, keinen solchen Port von LAN-WAN erlaubt und mein Homerouter nur den Port 21 forwardet.
Wiso funktioniert das?

Scheint nicht so einfach zu sein ..

Ich hab noch etwas rumgesucht und gelesen das die Firewalls FTP mitlesen und dann dynamisch Ports öffnen für client (LAN-WAN) sowie für Serverseite (WAN-LAN)..

Das könnte auch der Grund sein wiso dann SFTP nicht so einfach (also ohne dass die Ports offen sind) funktioniert.

Du hast es Dir schon selbst erklärt - die hohen PASV-Ports werden dynamisch geöffnet, das beherrschen auch alle modernen Router.
Es funktioniert deshalb, weil das ausgehende Paket vom Server dem Router oder der Firewall mitteilt, welchen Port der Client gleich verwenden will. Insofern ist das auch kein Sicherheitsrisiko, weil der Client nie von sich aus mit einem bestimmten Befehl das Öffnen des Ports erzwingen kann.

Okey gut, danke für die definitive Erklärung.