طرق المنافذ في MikroTik من iPhone وiPad وMac

لا يتضمن RouterOS برنامجًا خفيًا للطرق، لكن يمكن لجدار الحماية فيه تنظيم طرق عبر قوائم العناوين: تضيف كل حزمة مطابقة المصدر إلى قائمة، وتفتح القائمة الأخيرة Winbox أو SSH. يرسل Secret Knock نوعَي طرق MikroTik كليهما — المنافذ وأحجام ping.

الطرق باستخدام المنافذ

تنقل ثلاث محاولات اتصال بالترتيب العنوان من قائمة إلى أخرى؛ ولا يصل إلى Winbox (8291) إلا عنوان موجود في القائمة النهائية. ضع هذه القواعد فوق أي قاعدة تُسقط حركة مرور الإدخال.

/ip firewall filter
add chain=input protocol=tcp dst-port=4311 action=add-src-to-address-list \
    address-list=knock-1 address-list-timeout=10s comment="knock 1"
add chain=input protocol=tcp dst-port=5822 src-address-list=knock-1 \
    action=add-src-to-address-list address-list=knock-2 address-list-timeout=10s comment="knock 2"
add chain=input protocol=udp dst-port=6133 src-address-list=knock-2 \
    action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="knock 3"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept comment="Winbox after the knock"
add chain=input protocol=tcp dst-port=8291 action=drop comment="Winbox for everyone else"

محطة RouterOS الطرفية

الطرق باستخدام أحجام ping

يمكن لـ RouterOS أيضًا مطابقة حجم طلبات ICMP echo. يمثّل packet-size حزمة IPv4 كاملةً: 20 بايت لترويسة IP، و8 بايت لترويسة ICMP، وبيانات ping؛ لذا تصل بيانات بحجم 100 بايت بحجم 128 بايت. في محرر ping في Secret Knock، تُدخل حجم البيانات؛ ويعرض أحجام حزم ICMP وIPv4 وIPv6 الناتجة، ويحذّر عند تجاوز 1280 بايت، حيث قد تتجزأ الحزم.

/ip firewall filter
add chain=input protocol=icmp packet-size=128 action=add-src-to-address-list \
    address-list=ping-1 address-list-timeout=10s comment="ping 100 bytes of data"
add chain=input protocol=icmp packet-size=308 src-address-list=ping-1 \
    action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="ping 280 bytes of data"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept
add chain=input protocol=tcp dst-port=8291 action=drop

محطة RouterOS الطرفية

إضافة الباب في التطبيق

1اختر باب جديد › ابدأ من قالب › «MikroTik — تسلسل المنافذ» أو «MikroTik — أحجام ping». يضبط كلا القالبين Winbox (8291) كمنفذ للتحقق.
2أدخل منافذك، أو أحجام البيانات وعدد عمليات ping.
3اطرق، وانتظر ظهور الباب موارب، ثم افتح Winbox.

جميع الأمثلة على GitHub → كل إعدادات التكوين في هذه الصفحة، جاهزة للنسخ: github.com/mobilcomm/secretknock-examples (ملك عام).

أسئلة

لماذا لا يفتح طرق MikroTik الخاص بي؟

تحقق من ترتيب القواعد (يجب أن تأتي قواعد الطرق قبل قاعدة الإسقاط)، ومهلات address-list، ومن أن الموجّه يرى العنوان الذي تطرق منه — يعرضه Secret Knock على الشاشة الرئيسية.