Siirry sisältöön
Secret Knock
FI

MikroTik-porttikoputus iPhonesta, iPadista ja Macista

RouterOS:ssa ei ole koputusdaemonia, mutta sen palomuuri voi vaiheistaa koputuksen address-list-luetteloiden avulla: jokainen täsmäävä paketti lisää lähdeosoitteen luetteloon, ja viimeinen luettelo avaa Winboxin tai SSH:n. Secret Knock lähettää molempia MikroTik-koputustyyppejä — portteja ja ping-kokoja.

Koputa porteilla

Kolme yhteysyritystä järjestyksessä siirtää osoitteen luettelosta toiseen; vain viimeisessä luettelossa oleva osoite pääsee Winboxiin (8291). Sijoita nämä säännöt ennen kaikkia syöttöliikenteen hylkääviä sääntöjä.

/ip firewall filter
add chain=input protocol=tcp dst-port=4311 action=add-src-to-address-list \
    address-list=knock-1 address-list-timeout=10s comment="knock 1"
add chain=input protocol=tcp dst-port=5822 src-address-list=knock-1 \
    action=add-src-to-address-list address-list=knock-2 address-list-timeout=10s comment="knock 2"
add chain=input protocol=udp dst-port=6133 src-address-list=knock-2 \
    action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="knock 3"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept comment="Winbox after the knock"
add chain=input protocol=tcp dst-port=8291 action=drop comment="Winbox for everyone else"
RouterOS-pääte

Koputa ping-koilla

RouterOS voi myös täsmätä ICMP-kaikupyyntöjen koon perusteella. packet-size on koko IPv4-paketti: 20 tavua IP-otsaketta, 8 tavua ICMP-otsaketta ja ping-data, joten 100 tavua dataa saapuu 128 tavuna. Secret Knockin ping-muokkaimessa syötät datan koon; se näyttää tuloksena syntyvät ICMP-, IPv4- ja IPv6-pakettikoot sekä varoittaa yli 1280 tavun koista, jolloin paketit voivat pirstoutua.

/ip firewall filter
add chain=input protocol=icmp packet-size=128 action=add-src-to-address-list \
    address-list=ping-1 address-list-timeout=10s comment="ping 100 bytes of data"
add chain=input protocol=icmp packet-size=308 src-address-list=ping-1 \
    action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="ping 280 bytes of data"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept
add chain=input protocol=tcp dst-port=8291 action=drop
RouterOS-pääte

Lisää ovi appiin

  1. 1Uusi ovi › Aloita mallista › MikroTik — porttijärjestys tai MikroTik — ping-koot. Molemmat asettavat Winboxin (8291) tarkistettavaksi portiksi.
  2. 2Syötä portit tai pingien datakoot ja määrät.
  3. 3Koputa, odota että Ovi raollaan tulee näkyviin, ja avaa sitten Winbox.

Kaikki esimerkit GitHubissa → Jokainen tämän sivun määritys valmiina kopioitavaksi: github.com/mobilcomm/secretknock-examples (public domain).

Kysymyksiä

Miksi MikroTik-koputukseni ei avaa ovea?

Tarkista sääntöjen järjestys (koputussääntöjen on oltava ennen hylkäyssääntöä), address-list-luetteloiden aikakatkaisut sekä se, että reititin näkee osoitteen, josta koputat — Secret Knock näyttää sen aloitusnäkymässä.

Oppaita määritystäsi varten