iPhone, iPad 및 Mac에서 MikroTik 포트 노킹
RouterOS에는 노크 데몬이 없지만, 방화벽은 주소 목록을 통해 노크 단계를 구성할 수 있습니다. 일치하는 각 패킷은 소스를 목록에 추가하고, 마지막 목록은 Winbox 또는 SSH를 엽니다. Secret Knock는 포트와 ping 크기, 두 종류의 MikroTik 노크를 모두 전송합니다.
포트로 노크하기
순서대로 세 번 연결을 시도하면 주소가 목록에서 목록으로 이동하며, 마지막 목록에 있는 주소만 Winbox(8291)에 연결할 수 있습니다. 입력 트래픽을 차단하는 모든 규칙보다 위에 이 규칙을 배치하세요.
/ip firewall filter
add chain=input protocol=tcp dst-port=4311 action=add-src-to-address-list \
address-list=knock-1 address-list-timeout=10s comment="knock 1"
add chain=input protocol=tcp dst-port=5822 src-address-list=knock-1 \
action=add-src-to-address-list address-list=knock-2 address-list-timeout=10s comment="knock 2"
add chain=input protocol=udp dst-port=6133 src-address-list=knock-2 \
action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="knock 3"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept comment="Winbox after the knock"
add chain=input protocol=tcp dst-port=8291 action=drop comment="Winbox for everyone else"ping 크기로 노크하기
RouterOS는 ICMP 에코 요청의 크기도 일치시킬 수 있습니다. packet-size는 전체 IPv4 패킷 크기입니다. 즉, IP 헤더 20바이트, ICMP 헤더 8바이트 및 ping 데이터로 구성되므로 데이터 100바이트는 128바이트로 도착합니다. Secret Knock의 ping 편집기에서는 데이터 크기를 입력합니다. 그에 따른 ICMP, IPv4 및 IPv6 패킷 크기가 표시되며, 패킷이 단편화될 수 있는 1280바이트를 초과하면 경고합니다.
/ip firewall filter
add chain=input protocol=icmp packet-size=128 action=add-src-to-address-list \
address-list=ping-1 address-list-timeout=10s comment="ping 100 bytes of data"
add chain=input protocol=icmp packet-size=308 src-address-list=ping-1 \
action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="ping 280 bytes of data"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept
add chain=input protocol=tcp dst-port=8291 action=drop앱에 문 추가하기
- 1새 문 › 템플릿으로 시작 › ‘MikroTik — 포트 순서’ 또는 ‘MikroTik — ping 크기’를 선택하세요. 두 템플릿 모두 확인할 포트로 Winbox(8291)를 설정합니다.
- 2포트 또는 ping의 데이터 크기와 횟수를 입력하세요.
- 3노크한 후 문이 살짝 열림이 될 때까지 기다린 다음 Winbox를 여세요.
GitHub의 모든 예제 → 이 페이지의 모든 설정을 복사하여 바로 사용할 수 있습니다: github.com/mobilcomm/secretknock-examples (퍼블릭 도메인).
질문
MikroTik에 노크해도 포트가 열리지 않는 이유는 무엇인가요?
규칙 순서(노크 규칙은 차단 규칙보다 앞에 있어야 함), address-list 시간 제한, 그리고 라우터가 노크를 보내는 주소를 인식하는지 확인하세요. Secret Knock는 홈 화면에 해당 주소를 표시합니다.