UGREEN NAS SFTP und FTP nutzen: SSH, FTPS und passive Ports

Wer Dateien mit einem klassischen Übertragungsprogramm wie FileZilla oder WinSCP auf die NAS schieben möchte, braucht SFTP oder FTP. Beides bringt UGOS Pro mit, aber die Unterschiede sind groß: SFTP läuft verschlüsselt über SSH, klassisches FTP überträgt Passwörter im Klartext. Diese Anleitung zeigt Schritt für Schritt, wie Sie SFTP über den SSH-Dienst nutzen, wann FTPS die richtige Wahl ist und welche Einstellungen den FTP-Dienst absichern.

Die Abläufe folgen den Handbüchern von UGREEN, die Screenshots stammen von einer UGREEN DXP4800 Pro mit UGOS Pro 1.21.0.0190. Die SFTP-Sitzung in Schritt 3 haben wir auf dieser NAS ausgeführt. Als Beispiel dient die NAS-Adresse 192.168.1.10.

Voraussetzungen

• Ein Konto mit Administratorrechten auf der NAS
• Ein SFTP- oder FTP-Programm wie FileZilla oder WinSCP oder das Terminal
• Ein Gerät im selben Netz wie die NAS
• Etwa 15 Minuten

SFTP, FTPS oder FTP?

• SFTP: Dateiübertragung über SSH. Anmeldung und Daten sind verschlüsselt, es braucht nur einen Port, Standard ist 22. Die beste Wahl für Übertragungsprogramme.
• FTPS: Klassisches FTP mit TLS-Verschlüsselung. Sinnvoll für Geräte und Programme, die nur FTP können, etwa manche Scanner oder Kameras.
• FTP: Benutzername, Passwort und Dateien gehen unverschlüsselt durchs Netz. Nur noch für sehr alte Geräte, und auch dann nur im eigenen Netz.

Für den normalen Dateizugriff aus Windows oder macOS sind SMB und WebDAV meist bequemer, siehe Teil 33 und Teil 36.

Schritt 1: Den SSH-Dienst prüfen

SFTP hängt am SSH-Dienst. Öffnen Sie die Systemsteuerung und klicken Sie auf Terminal.

Auf der Seite stehen zwei Dienste:

• Telnet: Bei uns aus, und so muss es bleiben. Telnet überträgt alles unverschlüsselt, auch das Passwort.
• SSH: Bei uns aktiv auf Port 22. Darunter steht „Automatisch deaktivieren“, bei uns auf Nie. Wie der Name sagt, schaltet die NAS SSH damit nach einer gewählten Zeit wieder ab. Das passt, wenn Sie SSH nur gelegentlich brauchen.

Ist SSH aus, setzen Sie den Haken bei Aktivieren und klicken Sie auf Übernehmen. Die Beschreibung auf der Seite empfiehlt bei aktiviertem Terminaldienst ein sicheres Passwort für das Anmeldekonto und die automatische Blockierung. Beides ist in Teil 31 beschrieben.

Verifizieren: SSH ist aktiviert, Telnet nicht.

Schritt 2: SFTP und den Zugriff einstellen

Klicken Sie unter SSH auf Erweitert.

Das Fenster Erweitert-SSH hat drei Zeilen:

• Verschlüsselungsalgorithmus: Bei uns Hoch. Damit erlaubt die NAS nur moderne Verfahren. Ältere Programme verbinden sich dann eventuell nicht, aktualisieren Sie in dem Fall das Programm.
• Zugriffsbeschränkung: „Nur lokalen Netzwerkzugriff zulassen“. Bei uns nicht angehakt. Schalten Sie die Option ein, wenn SSH und SFTP nur aus dem eigenen Netz erreichbar sein sollen. Das ist für fast alle Haushalte und Büros die richtige Wahl.
• SFTP-Dienst: Bei uns aktiviert. Ohne diesen Haken bleibt SSH zwar an, Dateiübertragungen per SFTP sind aber nicht möglich.

Klicken Sie auf Speichern und auf der Seite auf Übernehmen.

Verifizieren: „SFTP-Dienst“ ist angehakt und gespeichert.

Schritt 3: Mit SFTP verbinden

Im Terminal unter macOS, Linux oder Windows verbinden Sie sich mit dem Befehl sftp, dem Benutzernamen und der Adresse der NAS:

sftp benutzername@192.168.1.10

Nach dem Passwort sehen Sie die Eingabeaufforderung sftp>. Auf unserer NAS sah die Sitzung so aus:

sftp> pwd
Remote working directory: /
sftp> ls
Daten        Download     S-EDV-Test   TimeMachine  Videothek    docker
home
sftp> cd /S-EDV-Test
sftp> ls
#recycle                  Besprechung.txt           Fotos
Kopie-mit-Attributen      Kopie-ohne-Attribute      Plan-Kopie-cp.txt
Plan-Kopie-cpa.txt        Projektplan.txt           Rechnungsentwurf.txt
Vertraulich

Die NAS zeigt unter / direkt die freigegebenen Ordner. Sie brauchen also keine Pfade wie /volume1, sondern wechseln einfach mit cd /Ordnername. Der Ordner #recycle ist der Papierkorb des Ordners, siehe Teil 28. Dateien holen Sie mit get, hochladen geht mit put, beenden mit bye. Mit help zeigt sftp alle Befehle an.

In FileZilla oder WinSCP wählen Sie als Protokoll SFTP, als Server 192.168.1.10, als Port 22 und Ihr Konto der NAS. Beim ersten Verbinden fragt das Programm, ob Sie dem Schlüssel des Servers vertrauen. Bestätigen Sie, wenn die Adresse stimmt.

Ein Hinweis zu den Konten: Auf unserer NAS hat der Standardbenutzer testuser die Anmelde-Shell /usr/sbin/nologin. Damit lässt sich keine SSH- und damit auch keine SFTP-Sitzung öffnen. Nutzen Sie SFTP deshalb mit einem Administratorkonto, für Standardbenutzer ist FTPS aus Schritt 4 die Alternative.

Verifizieren: ls zeigt die freigegebenen Ordner, und Sie können eine Testdatei hoch- und wieder herunterladen.

Schritt 4: FTPS statt FTP aktivieren

Brauchen Sie FTP, öffnen Sie die Systemsteuerung, Dateidienste, Reiter FTP.

Es gibt zwei Haken: „FTP aktivieren“ für unverschlüsseltes FTP und „FTPS aktivieren“ für FTP mit Verschlüsselung. Auf unserer NAS sind beide aus. Setzen Sie nur den Haken bei FTPS und lassen Sie FTP aus. Laut Beschreibung verbinden Sie sich danach mit einem lokalen Konto über einen FTP-Client im LAN mit der NAS. Laut UGREEN sehen Sie dabei die freigegebenen Ordner, auf die Ihr Konto Rechte hat.

Verifizieren: Nur „FTPS aktivieren“ ist angehakt, und die Schaltfläche Erweitert ist anklickbar.

Schritt 5: Port und Protokoll

Klicken Sie auf Erweitert. Der Reiter Allgemein zeigt zwei Einstellungen.

• FTP-Port: Standard ist laut UGREEN 21. Erlaubt sind Werte zwischen 1 und 65535. Ein anderer Port verringert laut UGREEN automatisierte Scans, ersetzt aber keine Verschlüsselung.
• Übertragungsprotokoll aufzeichnen: Zeichnet laut UGREEN alle FTP-Vorgänge auf. Das hilft bei der Fehlersuche und zeigt, wer was übertragen hat. Über Protokoll anzeigen sehen Sie die Einträge.

Verifizieren: Sie kennen den Port und haben entschieden, ob die Übertragungen aufgezeichnet werden.

Schritt 6: Zeitlimit, Zeichensatz und passive Ports

Wechseln Sie in den Reiter Mehr.

• Zeitüberschreitung: Voreingestellt sind 300 Sekunden. Danach trennt die NAS laut UGREEN eine untätige Verbindung.
• UTF-8-Kodierung: Auf Aktivieren. Laut UGREEN vermeidet das falsch dargestellte Dateinamen mit Umlauten.
• Bereich passiver FTP-Ports: Voreingestellt ist der Standard-Portbereich 40000 bis 50000. Im passiven Modus öffnet die NAS für jede Übertragung einen Port aus diesem Bereich. Laut UGREEN sorgt ein fester Bereich für stabile Verbindungen hinter Firewall und NAT. Steht eine Firewall dazwischen, muss sie diesen Bereich zusätzlich zu Port 21 durchlassen.

Verifizieren: UTF-8 ist aktiviert, und Sie kennen den passiven Portbereich.

Schritt 7: Verbindungen und Tempo begrenzen

Scrollen Sie im Reiter Mehr nach unten.

• Anzahl der Verbindungen pro IP begrenzen: Begrenzt laut UGREEN, wie viele Verbindungen eine einzelne IP-Adresse gleichzeitig öffnen darf. Das verhindert, dass ein Gerät alle Ressourcen belegt. Viele FTP-Programme öffnen mehrere Verbindungen parallel, wählen Sie den Wert also nicht zu klein.
• FTP-Übertragungsgeschwindigkeitsbegrenzung: Legt maximale Upload- und Download-Geschwindigkeiten in KB/s pro Verbindung fest. Laut UGREEN verhindert das, dass ein Benutzer zu viel Bandbreite beansprucht.

Klicken Sie auf Speichern und im Reiter FTP auf Übernehmen.

Verifizieren: Der FTP-Dienst ist übernommen, und die gewählten Grenzen sind gespeichert.

Schritt 8: Mit FTPS verbinden

UGREEN nimmt FileZilla als Beispiel: Server 192.168.1.10, Benutzername und Passwort Ihres NAS-Kontos, Port 21, dann Verbinden. Für FTPS legen Sie die Verbindung im Servermanager an und wählen bei Verschlüsselung „Explizites FTP über TLS erfordern“. Beim ersten Verbinden zeigt FileZilla das Zertifikat der NAS. Ab Werk nutzt die NAS ein Standard-Zertifikat von UGREEN, siehe Teil 36. Prüfen Sie die Adresse und bestätigen Sie.

Der Windows-Explorer öffnet laut UGREEN zwar ftp://-Adressen wie ftp://192.168.1.10, beherrscht aber kein FTPS. Mit der Einrichtung aus dieser Anleitung nutzen Sie deshalb FileZilla oder WinSCP. Am Mac gibt es seit macOS 10.13 laut UGREEN keinen eingebauten FTP-Client mehr. UGREEN empfiehlt dort ein FTP-Programm oder gleich SMB.

Verifizieren: FileZilla zeigt nach der Anmeldung die freigegebenen Ordner und im Statusfenster eine TLS-Verbindung.

Typische Fehler

Symptom	Ursache und Lösung
SFTP: Verbindung wird sofort geschlossen	SFTP-Dienst unter Erweitert-SSH aus, oder Standardkonto ohne Anmelde-Shell. Haken setzen oder FTPS nutzen.
SFTP: Algorithmus wird nicht unterstützt	Programm zu alt für die Stufe Hoch. Programm aktualisieren.
FTP: Anmeldung klappt, Ordnerliste bleibt leer	Passive Ports blockiert. Bereich 40000 bis 50000 in der Firewall freigeben.
Umlaute in Dateinamen falsch	UTF-8-Kodierung aus. Unter Mehr aktivieren.
Mac verbindet nicht mit ftp://	Der Finder beherrscht kein FTPS. FTP-Programm wie Cyberduck oder FileZilla nutzen oder SMB.

Häufige Fragen

Ist SFTP dasselbe wie FTPS?

Nein. SFTP ist ein eigenes Protokoll auf Basis von SSH und nutzt den SSH-Port. FTPS ist das klassische FTP mit zusätzlicher TLS-Verschlüsselung und nutzt Port 21 plus die passiven Ports.

Kann ich FTP aus dem Internet erreichbar machen?

Davon raten wir ab. Offene FTP- und SSH-Ports ziehen ständig automatisierte Anmeldeversuche an. Für den Zugriff von unterwegs nutzen Sie einen sicheren Fernzugriff wie VPN, den spätere Teile dieser Serie behandeln.

Welches Programm eignet sich für SFTP?

Unter Windows sind WinSCP und FileZilla verbreitet, am Mac Cyberduck und FileZilla. Alle drei können SFTP und FTPS. Wer nur einzelne Dateien überträgt, kommt auch mit dem Befehl sftp im Terminal aus, der unter macOS, Linux und aktuellem Windows mitgeliefert wird. Wählen Sie im Programm ausdrücklich SFTP mit Port 22. Ohne Angabe nutzen viele Programme FTP.

Was ist mit rsync?

rsync dient vor allem Sicherungen, etwa von NAS zu NAS, und hat einen eigenen Reiter unter Dateidienste. Das Thema behandelt das Backup-Kapitel dieser Serie.

Fazit

Für Übertragungsprogramme ist SFTP über den SSH-Dienst die sicherste und einfachste Wahl. Wer FTP braucht, nimmt FTPS, lässt das unverschlüsselte FTP aus und kennt den passiven Portbereich. Mit „Nur lokalen Netzwerkzugriff zulassen“ und ausgeschaltetem Telnet bleibt die NAS dabei gut geschützt.

Weiterführende Anleitungen und Quellen

• Teil 31: Admin-Konto absichern
• Teil 33: SMB unter Windows
• Teil 36: WebDAV einrichten
• UGREEN: FTP
• UGREEN: Über FTP auf Dateien zugreifen