Lewati ke konten
Secret Knock
ID

Port knocking MikroTik dari iPhone, iPad, dan Mac

RouterOS tidak memiliki daemon knock, tetapi firewall-nya dapat menjalankan knock bertahap melalui address list: setiap paket yang cocok menempatkan sumber pada daftar, dan daftar terakhir membuka Winbox atau SSH. Secret Knock mengirim kedua jenis knock MikroTik — port dan ukuran ping.

Ketuk dengan port

Tiga upaya koneksi secara berurutan memindahkan alamat dari satu daftar ke daftar berikutnya; hanya alamat pada daftar terakhir yang dapat mencapai Winbox (8291). Letakkan aturan ini di atas aturan apa pun yang memblokir lalu lintas input.

/ip firewall filter
add chain=input protocol=tcp dst-port=4311 action=add-src-to-address-list \
    address-list=knock-1 address-list-timeout=10s comment="knock 1"
add chain=input protocol=tcp dst-port=5822 src-address-list=knock-1 \
    action=add-src-to-address-list address-list=knock-2 address-list-timeout=10s comment="knock 2"
add chain=input protocol=udp dst-port=6133 src-address-list=knock-2 \
    action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="knock 3"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept comment="Winbox after the knock"
add chain=input protocol=tcp dst-port=8291 action=drop comment="Winbox for everyone else"
Terminal RouterOS

Ketuk dengan ukuran ping

RouterOS juga dapat mencocokkan ukuran permintaan echo ICMP. packet-size adalah seluruh paket IPv4: 20 byte header IP, 8 byte header ICMP, dan data ping, sehingga 100 byte data tiba sebagai 128. Di editor ping Secret Knock, masukkan ukuran data; aplikasi menampilkan ukuran paket ICMP, IPv4, dan IPv6 yang dihasilkan, serta memperingatkan untuk ukuran di atas 1280 byte, ketika paket mungkin terfragmentasi.

/ip firewall filter
add chain=input protocol=icmp packet-size=128 action=add-src-to-address-list \
    address-list=ping-1 address-list-timeout=10s comment="ping 100 bytes of data"
add chain=input protocol=icmp packet-size=308 src-address-list=ping-1 \
    action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="ping 280 bytes of data"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept
add chain=input protocol=tcp dst-port=8291 action=drop
Terminal RouterOS

Tambahkan Pintu di app

  1. 1Pintu baru › Mulai dari templat › Urutan port MikroTik atau ukuran ping MikroTik. Keduanya menetapkan Winbox (8291) sebagai port yang diperiksa.
  2. 2Masukkan port Anda, atau ukuran data dan jumlah ping Anda.
  3. 3Ketuk, tunggu hingga Pintu terbuka sedikit, lalu buka Winbox.

Semua contoh di GitHub → Setiap konfigurasi di halaman ini, siap disalin: github.com/mobilcomm/secretknock-examples (domain publik).

Pertanyaan

Mengapa knock MikroTik saya tidak membuka?

Periksa urutan aturan (aturan knock harus berada sebelum aturan drop), timeout address-list, dan pastikan router melihat alamat asal Anda mengetuk — Secret Knock menampilkannya di layar utama.

Panduan untuk pengaturan Anda