Přejít na obsah
Secret Knock
CS

Klepání na porty MikroTik z iPhonu, iPadu a Macu

RouterOS nemá démona pro klepání, jeho firewall však dokáže provést klepání prostřednictvím seznamů adres: každý odpovídající paket přidá zdroj do seznamu a poslední seznam otevře Winbox nebo SSH. Secret Knock odesílá oba typy klepání MikroTik — na porty i podle velikosti pingů.

Klepání pomocí portů

Tři pokusy o připojení v daném pořadí přesunou adresu ze seznamu do seznamu; do Winboxu (8291) se dostane pouze adresa v posledním seznamu. Tato pravidla umístěte nad všechna pravidla, která zahazují vstupní provoz.

/ip firewall filter
add chain=input protocol=tcp dst-port=4311 action=add-src-to-address-list \
    address-list=knock-1 address-list-timeout=10s comment="knock 1"
add chain=input protocol=tcp dst-port=5822 src-address-list=knock-1 \
    action=add-src-to-address-list address-list=knock-2 address-list-timeout=10s comment="knock 2"
add chain=input protocol=udp dst-port=6133 src-address-list=knock-2 \
    action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="knock 3"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept comment="Winbox after the knock"
add chain=input protocol=tcp dst-port=8291 action=drop comment="Winbox for everyone else"
Terminál RouterOS

Klepání pomocí velikosti pingů

RouterOS také dokáže porovnávat velikost požadavků ICMP echo. packet-size je celý paket IPv4: 20 bajtů hlavičky IP, 8 bajtů hlavičky ICMP a data pingu, takže data o velikosti 100 bajtů dorazí jako 128 bajtů. V editoru pingů Secret Knock zadáváte velikost dat; aplikace zobrazuje výsledné velikosti paketů ICMP, IPv4 a IPv6 a upozorní vás na velikosti nad 1280 bajtů, kdy může docházet k fragmentaci paketů.

/ip firewall filter
add chain=input protocol=icmp packet-size=128 action=add-src-to-address-list \
    address-list=ping-1 address-list-timeout=10s comment="ping 100 bytes of data"
add chain=input protocol=icmp packet-size=308 src-address-list=ping-1 \
    action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="ping 280 bytes of data"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept
add chain=input protocol=tcp dst-port=8291 action=drop
Terminál RouterOS

Přidejte dveře do aplikace

  1. 1Nové dveře › Začít ze šablony › MikroTik — posloupnost portů nebo MikroTik — velikosti pingů. Obě možnosti nastaví Winbox (8291) jako kontrolovaný port.
  2. 2Zadejte své porty nebo velikosti dat a počty pingů.
  3. 3Zaklepejte, počkejte na stav Dveře pootevřené a poté otevřete Winbox.

Všechny příklady na GitHubu → Každá konfigurace na této stránce připravená ke zkopírování: github.com/mobilcomm/secretknock-examples (public domain).

Otázky

Proč se po zaklepání na MikroTik dveře neotevřou?

Zkontrolujte pořadí pravidel (pravidla pro klepání musí být před pravidlem pro zahození), časové limity address-listů a zda router vidí adresu, ze které klepáte — Secret Knock ji zobrazuje na domovské obrazovce.

Průvodci pro vaše nastavení