Ves al contingut
Secret Knock
CA

Trucada a ports de MikroTik des de l’iPhone, l’iPad i el Mac

RouterOS no té cap dimoni de trucades, però el seu tallafoc pot preparar una trucada mitjançant llistes d’adreces: cada paquet coincident afegeix l’origen a una llista, i l’última llista obre Winbox o SSH. Secret Knock envia tots dos tipus de trucada de MikroTik: ports i mides de PING.

Feu la trucada amb ports

Tres intents de connexió en ordre traslladen l’adreça d’una llista a l’altra; només una adreça de la llista final arriba a Winbox (8291). Col·loqueu aquestes regles per sobre de qualsevol regla que descarti el trànsit d’entrada.

/ip firewall filter
add chain=input protocol=tcp dst-port=4311 action=add-src-to-address-list \
    address-list=knock-1 address-list-timeout=10s comment="knock 1"
add chain=input protocol=tcp dst-port=5822 src-address-list=knock-1 \
    action=add-src-to-address-list address-list=knock-2 address-list-timeout=10s comment="knock 2"
add chain=input protocol=udp dst-port=6133 src-address-list=knock-2 \
    action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="knock 3"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept comment="Winbox after the knock"
add chain=input protocol=tcp dst-port=8291 action=drop comment="Winbox for everyone else"
Terminal de RouterOS

Feu la trucada amb mides de PING

RouterOS també pot fer coincidir la mida de les sol·licituds d’eco ICMP. packet-size correspon a tot el paquet IPv4: 20 bytes de capçalera IP, 8 bytes de capçalera ICMP i les dades del PING; per tant, 100 bytes de dades arriben com a 128. A l’editor de PING de Secret Knock introduïu la mida de les dades; mostra les mides resultants dels paquets ICMP, IPv4 i IPv6, i avisa per sobre dels 1280 bytes, quan els paquets es poden fragmentar.

/ip firewall filter
add chain=input protocol=icmp packet-size=128 action=add-src-to-address-list \
    address-list=ping-1 address-list-timeout=10s comment="ping 100 bytes of data"
add chain=input protocol=icmp packet-size=308 src-address-list=ping-1 \
    action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="ping 280 bytes of data"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept
add chain=input protocol=tcp dst-port=8291 action=drop
Terminal de RouterOS

Afegiu la porta a l’app

  1. 1Porta nova › Comença amb una plantilla › Seqüència de ports de MikroTik o Mides de PING de MikroTik. Totes dues estableixen Winbox (8291) com a port que cal comprovar.
  2. 2Introduïu els ports o les mides de dades i els recomptes dels PING.
  3. 3Feu la trucada, espereu que aparegui Porta entreoberta i, a continuació, obriu Winbox.

Tots els exemples a GitHub → Totes les configuracions d’aquesta pàgina, a punt per copiar: github.com/mobilcomm/secretknock-examples (domini públic).

Preguntes

Per què la meva trucada de MikroTik no obre?

Comproveu l’ordre de les regles (les regles de trucada han d’anar abans de la regla de descart), els temps d’espera de les llistes d’adreces i que l’encaminador vegi l’adreça des de la qual feu la trucada; Secret Knock la mostra a la pantalla d’inici.

Guies per a la vostra configuració