דפיקת יציאות ב-MikroTik מ-iPhone, iPad ו-Mac

ל-RouterOS אין daemon לדפיקות, אך חומת האש שלו יכולה לבצע דפיקה בשלבים באמצעות רשימות כתובות: כל מנה תואמת מוסיפה את המקור לרשימה, והרשימה האחרונה פותחת את Winbox או SSH. ‏Secret Knock שולחת את שני סוגי הדפיקות של MikroTik — יציאות וגדלי ping.

דפיקה באמצעות יציאות

שלושה ניסיונות חיבור לפי הסדר מעבירים את הכתובת מרשימה לרשימה; רק כתובת שברשימה הסופית מגיעה אל Winbox ‏(8291). הציבו כללים אלה מעל לכל כלל שחוסם תעבורת קלט.

/ip firewall filter
add chain=input protocol=tcp dst-port=4311 action=add-src-to-address-list \
    address-list=knock-1 address-list-timeout=10s comment="knock 1"
add chain=input protocol=tcp dst-port=5822 src-address-list=knock-1 \
    action=add-src-to-address-list address-list=knock-2 address-list-timeout=10s comment="knock 2"
add chain=input protocol=udp dst-port=6133 src-address-list=knock-2 \
    action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="knock 3"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept comment="Winbox after the knock"
add chain=input protocol=tcp dst-port=8291 action=drop comment="Winbox for everyone else"

מסוף RouterOS

דפיקה באמצעות גדלי ping

RouterOS יכול גם להתאים לגודל של בקשות הד ICMP. ‏packet-size הוא חבילת IPv4 כולה: 20 בתים של כותרת IP, 8 בתים של כותרת ICMP ונתוני ה-ping, כך ש-100 בתים של נתונים מגיעים כ-128. בעורך ה-ping של Secret Knock מזינים את גודל הנתונים; הוא מציג את גדלי חבילות ICMP, IPv4 ו-IPv6 המתקבלים, ומזהיר מעל 1280 בתים, שבהם חבילות עשויות להתפצל.

/ip firewall filter
add chain=input protocol=icmp packet-size=128 action=add-src-to-address-list \
    address-list=ping-1 address-list-timeout=10s comment="ping 100 bytes of data"
add chain=input protocol=icmp packet-size=308 src-address-list=ping-1 \
    action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="ping 280 bytes of data"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept
add chain=input protocol=tcp dst-port=8291 action=drop

מסוף RouterOS

הוספת הדלת באפליקציה

1דלת חדשה › התחלה מתבנית › רצף יציאות של MikroTik או גדלי ping של MikroTik. בשתיהן מוגדר Winbox ‏(8291) כיציאה לבדיקה.
2הזינו את היציאות שלכם, או את גודל הנתונים ואת מספר בקשות ה-ping שלכם.
3שלחו דפיקה, המתינו עד שיופיע הכיתוב ״דלת פתוחה מעט״, ולאחר מכן פתחו את Winbox.

כל הדוגמאות ב-GitHub → כל התצורות בדף זה, מוכנות להעתקה: github.com/mobilcomm/secretknock-examples (נחלת הכלל).

שאלות

למה הדפיקה שלי ב-MikroTik לא פותחת את הדלת?

בדקו את סדר הכללים (כללי הדפיקה חייבים להופיע לפני כלל החסימה), את פרקי הזמן הקצובים של address-list, ושהנתב רואה את הכתובת שממנה אתם שולחים את הדפיקה — Secret Knock מציגה אותה במסך הבית.