Hoppa till innehållet
Secret Knock
SV

MikroTik-portknackning från iPhone, iPad och Mac

RouterOS har ingen knock-daemon, men brandväggen kan hantera en knackning via adresslistor: varje matchande paket lägger källadressen i en lista, och den sista listan öppnar Winbox eller SSH. Secret Knock skickar båda typerna av MikroTik-knackningar — portar och pingstorlekar.

Knacka med portar

Tre anslutningsförsök i ordning flyttar adressen från lista till lista; endast en adress i den sista listan når Winbox (8291). Placera dessa regler ovanför regler som blockerar inkommande trafik.

/ip firewall filter
add chain=input protocol=tcp dst-port=4311 action=add-src-to-address-list \
    address-list=knock-1 address-list-timeout=10s comment="knock 1"
add chain=input protocol=tcp dst-port=5822 src-address-list=knock-1 \
    action=add-src-to-address-list address-list=knock-2 address-list-timeout=10s comment="knock 2"
add chain=input protocol=udp dst-port=6133 src-address-list=knock-2 \
    action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="knock 3"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept comment="Winbox after the knock"
add chain=input protocol=tcp dst-port=8291 action=drop comment="Winbox for everyone else"
RouterOS-terminal

Knacka med pingstorlekar

RouterOS kan även matcha storleken på ICMP-ekoförfrågningar. packet-size omfattar hela IPv4-paketet: 20 byte IP-huvud, 8 byte ICMP-huvud och pingdata, så 100 byte data kommer fram som 128. I Secret Knocks pingredigerare anger du datastorleken; den visar de resulterande paketstorlekarna för ICMP, IPv4 och IPv6 samt varnar över 1280 byte, där paket kan fragmenteras.

/ip firewall filter
add chain=input protocol=icmp packet-size=128 action=add-src-to-address-list \
    address-list=ping-1 address-list-timeout=10s comment="ping 100 bytes of data"
add chain=input protocol=icmp packet-size=308 src-address-list=ping-1 \
    action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="ping 280 bytes of data"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept
add chain=input protocol=tcp dst-port=8291 action=drop
RouterOS-terminal

Lägg till dörren i appen

  1. 1Ny dörr › Börja med en mall › MikroTik-portsekvens eller MikroTik-pingstorlekar. Båda anger Winbox (8291) som porten att kontrollera.
  2. 2Ange dina portar eller datastorlekarna och antalet för dina pingar.
  3. 3Knacka, vänta på Dörr på glänt och öppna sedan Winbox.

Alla exempel på GitHub → Alla konfigurationer på den här sidan, redo att kopiera: github.com/mobilcomm/secretknock-examples (public domain).

Frågor

Varför öppnar inte min MikroTik-knackning dörren?

Kontrollera reglernas ordning (knackningsreglerna måste komma före blockeringsregeln), tidsgränserna för address-list och att routern ser adressen du knackar från — Secret Knock visar den på hemskärmen.

Guider för din konfiguration