Ugrás a tartalomra
Secret Knock
HU

MikroTik portkopogtatás iPhone-ról, iPadről és Macről

A RouterOS nem rendelkezik kopogtatási démonnal, de a tűzfala address-listekkel szakaszokra oszthatja a kopogtatást: minden egyező csomag egy listára helyezi a forráscímet, az utolsó lista pedig megnyitja a Winbox vagy az SSH elérését. A Secret Knock mindkét fajta MikroTik kopogtatást elküldi — portokkal és pingméretekkel is.

Kopogtatás portokkal

Három, meghatározott sorrendben végzett kapcsolódási kísérlet listáról listára helyezi a címet; csak a végső listán szereplő cím érheti el a Winboxot (8291). Ezeket a szabályokat minden bemenő forgalmat eldobó szabály fölé helyezze.

/ip firewall filter
add chain=input protocol=tcp dst-port=4311 action=add-src-to-address-list \
    address-list=knock-1 address-list-timeout=10s comment="knock 1"
add chain=input protocol=tcp dst-port=5822 src-address-list=knock-1 \
    action=add-src-to-address-list address-list=knock-2 address-list-timeout=10s comment="knock 2"
add chain=input protocol=udp dst-port=6133 src-address-list=knock-2 \
    action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="knock 3"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept comment="Winbox after the knock"
add chain=input protocol=tcp dst-port=8291 action=drop comment="Winbox for everyone else"
RouterOS terminál

Kopogtatás pingméretekkel

A RouterOS az ICMP-visszhangkérések méretét is képes egyeztetni. A packet-size a teljes IPv4-csomag mérete: 20 bájt IP-fejléc, 8 bájt ICMP-fejléc és a ping adatai, így 100 bájt adat 128 bájtként érkezik. A Secret Knock ping-szerkesztőjében az adatméretet adja meg; az alkalmazás megjeleníti az eredő ICMP-, IPv4- és IPv6-csomagméretet, és 1280 bájt felett figyelmeztet, ahol a csomagok töredezhetnek.

/ip firewall filter
add chain=input protocol=icmp packet-size=128 action=add-src-to-address-list \
    address-list=ping-1 address-list-timeout=10s comment="ping 100 bytes of data"
add chain=input protocol=icmp packet-size=308 src-address-list=ping-1 \
    action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="ping 280 bytes of data"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept
add chain=input protocol=tcp dst-port=8291 action=drop
RouterOS terminál

Az ajtó hozzáadása az alkalmazásban

  1. 1Új ajtó › Kezdés sablonból › MikroTik — portsorrend vagy MikroTik — pingméretek. Mindkettő a Winboxot (8291) állítja be ellenőrzendő portként.
  2. 2Adja meg portjait, illetve pingjei adatméretét és darabszámát.
  3. 3Kopogjon, várja meg, amíg megjelenik a Résnyire nyitott ajtó, majd nyissa meg a Winboxot.

Minden példa a GitHubon → Az oldal minden konfigurációja másolásra készen: github.com/mobilcomm/secretknock-examples (közkincs).

Kérdések

Miért nem nyitja meg a portot a MikroTik-kopogtatásom?

Ellenőrizze a szabályok sorrendjét (a kopogtatási szabályoknak az eldobási szabály előtt kell szerepelniük), az address-list időkorlátjait, valamint hogy a router azt a címet látja-e, amelyről kopogtat — a Secret Knock ezt az alkalmazás kezdőképernyőjén jeleníti meg.

Útmutatók a beállításához