Χτύπημα θυρών MikroTik από iPhone, iPad και Mac

Το RouterOS δεν διαθέτει δαίμονα χτυπημάτων, όμως το τείχος προστασίας του μπορεί να εκτελεί σταδιακά ένα χτύπημα μέσω λιστών διευθύνσεων: κάθε αντίστοιχο πακέτο προσθέτει την πηγή σε μια λίστα και η τελευταία λίστα ανοίγει το Winbox ή το SSH. Το Secret Knock στέλνει και τα δύο είδη χτυπήματος MikroTik — θύρες και μεγέθη ping.

Χτύπημα με θύρες

Τρεις προσπάθειες σύνδεσης με τη σωστή σειρά μετακινούν τη διεύθυνση από λίστα σε λίστα· μόνο μια διεύθυνση στην τελική λίστα μπορεί να φτάσει στο Winbox (8291). Τοποθετήστε αυτούς τους κανόνες πριν από οποιονδήποτε κανόνα απορρίπτει εισερχόμενη κίνηση.

/ip firewall filter
add chain=input protocol=tcp dst-port=4311 action=add-src-to-address-list \
    address-list=knock-1 address-list-timeout=10s comment="knock 1"
add chain=input protocol=tcp dst-port=5822 src-address-list=knock-1 \
    action=add-src-to-address-list address-list=knock-2 address-list-timeout=10s comment="knock 2"
add chain=input protocol=udp dst-port=6133 src-address-list=knock-2 \
    action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="knock 3"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept comment="Winbox after the knock"
add chain=input protocol=tcp dst-port=8291 action=drop comment="Winbox for everyone else"

Τερματικό RouterOS

Χτύπημα με μεγέθη ping

Το RouterOS μπορεί επίσης να αντιστοιχίσει το μέγεθος των αιτημάτων ηχούς ICMP. Το packet-size είναι ολόκληρο το πακέτο IPv4: 20 byte κεφαλίδας IP, 8 byte κεφαλίδας ICMP και τα δεδομένα ping, επομένως 100 byte δεδομένων φτάνουν ως 128. Στο πρόγραμμα επεξεργασίας ping του Secret Knock εισάγετε το μέγεθος των δεδομένων· εμφανίζει τα μεγέθη των πακέτων ICMP, IPv4 και IPv6 που προκύπτουν και προειδοποιεί για τιμές άνω των 1280 byte, όπου τα πακέτα μπορεί να κατακερματιστούν.

/ip firewall filter
add chain=input protocol=icmp packet-size=128 action=add-src-to-address-list \
    address-list=ping-1 address-list-timeout=10s comment="ping 100 bytes of data"
add chain=input protocol=icmp packet-size=308 src-address-list=ping-1 \
    action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="ping 280 bytes of data"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept
add chain=input protocol=tcp dst-port=8291 action=drop

Τερματικό RouterOS

Προσθέστε την πόρτα στην εφαρμογή

1Νέα πόρτα › Έναρξη από πρότυπο › Ακολουθία θυρών MikroTik ή Μεγέθη ping MikroTik. Και τα δύο ορίζουν το Winbox (8291) ως τη θύρα προς έλεγχο.
2Εισαγάγετε τις θύρες σας ή τα μεγέθη δεδομένων και τον αριθμό των ping σας.
3Πατήστε Χτύπημα, περιμένετε για Πόρτα μισάνοιχτη και έπειτα ανοίξτε το Winbox.

Όλα τα παραδείγματα στο GitHub → Κάθε διαμόρφωση αυτής της σελίδας, έτοιμη για αντιγραφή: github.com/mobilcomm/secretknock-examples (κοινό κτήμα).

Ερωτήσεις

Γιατί το χτύπημα MikroTik δεν ανοίγει;

Ελέγξτε τη σειρά των κανόνων (οι κανόνες χτυπήματος πρέπει να προηγούνται του κανόνα απόρριψης), τα χρονικά όρια των address-list και ότι ο δρομολογητής βλέπει τη διεύθυνση από την οποία χτυπάτε — το Secret Knock την εμφανίζει στην αρχική οθόνη.