Port knocking para iPhone, iPad, Mac e Apple Watch
Bata. A porta abre.
O Secret Knock abre as portas ocultas do seu servidor com uma batida secreta — uma Sequência do knockd, uma Autorização de Pacote Único do fwknop, tamanhos de ping para MikroTik ou um código DrayTek Vigor — usando seu iPhone, Mac ou pulso. Em seguida, ele verifica a porta e transfere você para o SSH.
iPhone e iPad com iOS 18 ou posterior · Mac com macOS 15 ou posterior · Apple Watch com watchOS 11 ou posterior
Como funciona
-
Adicione sua porta
Insira uma Sequência do knockd — portas TCP e UDP, atrasos, cargas úteis — uma chave SPA do fwknop, tamanhos de ping ou uma chave TOTP do DrayTek Vigor. Comece com um modelo ou importe seu knockd.conf ou .fwknoprc.
-
Mantenha pressionado para bater
Cada batida chega até você com um toque na mão. Ou bata pelo Apple Watch, um widget, a Central de Controle, a Siri ou o botão de Ação — no Mac, pela barra de menus.
-
A porta está entreaberta
O Secret Knock verifica se a porta responde, faz a contagem regressiva da janela de abertura — também na Tela Bloqueada e na Dynamic Island — e abre seu app SSH com mais um toque.
Uma batida, todas as telas
As mesmas portas no iPhone, iPad, Mac e Apple Watch, sincronizadas pelo seu próprio iCloud — e, no iPhone Duo, a lista e a porta lado a lado.
Tudo de que uma batida precisa
Feito para quem mantém os servidores fechados — laboratórios domésticos, VPSs, roteadores e servidores de escritório.
-
Todo tipo de batida
sequências do knockd por TCP e UDP com atrasos, cargas úteis e sequências de uso único; SPA do fwknop com Rijndael e HMAC por UDP ou HTTP; tamanhos de ping para MikroTik e iptables; DrayTek Vigor com seu código TOTP.
-
Bata de qualquer lugar
Apple Watch e sua complicação, widgets da Tela de Início e da Tela Bloqueada, Central de Controle, Siri, Atalhos, Spotlight e o botão de Ação. No Mac, a barra de menus.
-
Verificação de porta e contagem regressiva
Após a batida, Secret Knock verifica a porta — por IPv4 ou IPv6, em todos os endereços do host, se quiser — e faz a contagem regressiva de quanto tempo ela permanece aberta.
-
Direto para o SSH
No momento em que a porta se abre, um toque abre seu app de SSH por meio de um link ssh:// ou de qualquer link que você definir. Opcionalmente, desperte o servidor com Wake-on-LAN ou acione um webhook.
-
Sabe de onde você está batendo
Mostra o endereço público de onde sua batida vem e permite fixar IPv4 ou IPv6 para cada servidor — o motivo mais comum de uma batida falhar.
-
Um histórico de cada batida
Quando você bateu, se a porta se abriu e de onde: pelo app, um widget, Siri ou Apple Watch.
-
Modelos e terminal
Modelos para knockd, MikroTik, DrayTek e fwknop; importe knockd.conf ou .fwknoprc; copie a mesma batida como um comando knock, fwknop ou ping para seu terminal.
-
Privado e bloqueado
A lista de portas é criptografada no seu dispositivo e no iCloud, as chaves são sincronizadas com criptografia de ponta a ponta pelas Chaves do iCloud, há um bloqueio opcional por Face ID ou Touch ID, e os backups são protegidos com sua própria senha.
Dados não coletados. Mesmo.
Uma ferramenta que protege seus servidores não deveria monitorar você. O Secret Knock não tem conta, análises nem rastreamento.
Leia a política de privacidade →- Sem conta e sem início de sessão — nunca.
- Sem SDKs de análise ou publicidade no app.
- Seus servidores são sincronizados apenas pelo seu próprio iCloud; sequências de batidas e chaves ficam nas Chaves do iCloud.
- O app se comunica com seus servidores. Ele só consulta ip.secretknock.app para mostrar o IP público de onde você bate — o endereço é retornado na hora e nunca é registrado.
Uma porta grátis. Todas as portas com um só pagamento.
Grátis
$0 para sempre
- 1 servidor próprio
- Todos os recursos, incluindo o Apple Watch
- A porta de demonstração para experimentar, por nossa conta
Portas Ilimitadas
$4.99 compra única
- Servidores ilimitados
- Uma única compra para iPhone, iPad, Mac e Apple Watch
- Compartilhamento Familiar
Preço nos EUA. A App Store define o preço no seu país. Sem assinatura, sem conta.
Guias para sua configuração
Páginas passo a passo para os servidores e roteadores nos quais as pessoas mais batem.
- knockd no iPhone, iPad e Mac Envie sequências de portas do knockd pelo iPhone, iPad, Mac e Apple Watch: batidas TCP e UDP, atrasos, cargas úteis, sequências de uso único e, em seguida, uma verificação de porta e SSH. Leia o guia →
- SPA do fwknop no iPhone, Mac e Apple Watch Autorização de Pacote Único do fwknop no iPhone, iPad, Mac e Apple Watch: Rijndael + HMAC por UDP ou HTTP, chaves de fwknop --key-gen ou de um código QR. Leia o guia →
- Port knocking no MikroTik Bata em um firewall MikroTik RouterOS usando iPhone, iPad ou Mac: batidas de porta por address-list ou batidas por tamanho de pacote ICMP e, em seguida, Winbox. Regras incluídas. Leia o guia →
- Port knocking do DrayTek Vigor Envie uma batida para um roteador DrayTek Vigor com o código TOTP dele pelo iPhone, iPad, Mac ou Apple Watch, como na própria Port Knocking Tool da DrayTek. Leia o guia →
- Oculte o SSH com port knocking Mantenha o SSH fechado para scanners e abra-o somente após uma batida: knockd com nftables ou iptables, ou SPA do fwknop, e um cliente para iPhone, iPad, Mac e Apple Watch. Leia o guia →
- Port knocking no Apple Watch Bata no seu servidor pelo pulso: o Apple Watch bate por meio do iPhone ou, sozinho, com SPA do fwknop por HTTP e, em seguida, faz a contagem regressiva da janela aberta. Leia o guia →
- Por que uma batida de porta não abre Uma lista de verificação para batidas que não abrem: o endereço de onde você bate, IPv4 vs. IPv6, SYNs retransmitidos, temporização, relógios e ordem das regras, com comandos. Leia o guia →
- exemplos de knockd.conf Exemplos funcionais de knockd.conf: abra SSH por alguns segundos, sequências para abrir e fechar, sequências de uso único e conjuntos do nftables, com notas para o Secret Knock. Leia o guia →
- configuração do servidor fwknop Instale o fwknopd no Debian ou Ubuntu, gere chaves, escreva o access.conf, bloqueie SSH por padrão e teste com o cliente fwknop antes de adicionar a porta. Leia o guia →
- Port knocking, VPN ou fail2ban? Quando o port knocking é a ferramenta certa para proteger SSH e painéis de administração e quando uma VPN, como WireGuard ou Tailscale, ou o fail2ban, é mais adequado. Leia o guia →
Perguntas
O que é port knocking?
O port knocking mantém um serviço como SSH oculto atrás de um firewall fechado. O firewall só o abre para um endereço que primeiro envia um padrão secreto de tentativas de conexão — a batida. O knockd observa uma sequência de portas; o fwknop aceita um pacote criptografado de Autorização de Pacote Único.
Com quais servidores o Secret Knock funciona?
Qualquer servidor que execute knockd ou fwknopd, além de firewalls que abram uma porta após uma sequência de tentativas de conexão TCP ou UDP — por exemplo, em uma VPS Linux, um servidor doméstico, um NAS ou um roteador.
Funciona com roteadores MikroTik ou DrayTek?
Sim. O port knocking do MikroTik por tentativas de conexão ou por tamanho de pacote ICMP funciona, e o Secret Knock envia os tamanhos de ping esperados pelas regras do roteador. Para roteadores DrayTek Vigor, ele bate como a própria Port Knocking Tool da DrayTek: a primeira porta e, depois, duas portas geradas a partir do código TOTP do roteador. Os modelos preenchem os ajustes habituais.
Posso experimentar sem ter meu próprio servidor?
Sim. Após a primeira inicialização, o Secret Knock adiciona uma porta de demonstração: um servidor público de teste em demo.secretknock.app. Mantenha pressionado o botão Bater dela, e o servidor abre uma porta para o seu endereço por 30 segundos, para que você possa ver todo o processo antes de adicionar seu próprio servidor. A porta de demonstração não conta para o servidor gratuito.
O port knocking é seguro?
Uma sequência de batidas clássica trafega sem criptografia, portanto trate-a como uma camada adicional diante de chaves SSH fortes, e não como substituição. O SPA do fwknop é mais forte: cada pacote é criptografado, autenticado com HMAC e não pode ser reutilizado.
Funciona no Apple Watch?
Sim. Os apps do Apple Watch não podem enviar pacotes de rede brutos por conta própria, então o Watch bate por meio do iPhone. Longe do iPhone, o Watch pode enviar SPA do fwknop por HTTP se o seu servidor permitir isso.
Por que minha batida não abriu a porta?
Na maioria das vezes, a batida saiu por IPv6 enquanto o SSH se conecta por IPv4, ou vice-versa, ou o servidor viu um IP público diferente. O Secret Knock mostra o endereço de onde você bate e permite fixar IPv4 ou IPv6 para cada servidor. O guia de port knocking aborda as outras causas.
O Secret Knock coleta dados?
Não. Não há conta, análises nem rastreamento. Seus servidores e chaves permanecem nos seus dispositivos e no seu próprio iCloud.
Quanto custa?
Um servidor é gratuito com todos os recursos. Servidores ilimitados são uma compra única que cobre iPhone, iPad, Mac e Apple Watch e funciona com o Compartilhamento Familiar.
Mantenha a porta fechada. Leve a batida com você.
O Secret Knock está chegando à App Store para iPhone, iPad, Mac e Apple Watch.
Em breve na App Store