Gõ cổng MikroTik từ iPhone, iPad và Mac
RouterOS không có daemon gõ cổng, nhưng tường lửa của nó có thể xử lý theo từng bước một lần gõ thông qua danh sách địa chỉ: mỗi gói phù hợp sẽ đưa địa chỉ nguồn vào một danh sách, và danh sách cuối cùng sẽ mở Winbox hoặc SSH. Secret Knock gửi cả hai kiểu gõ MikroTik — cổng và kích thước ping.
Gõ bằng cổng
Ba lần thử kết nối theo đúng thứ tự sẽ chuyển địa chỉ từ danh sách này sang danh sách khác; chỉ địa chỉ nằm trong danh sách cuối cùng mới đến được Winbox (8291). Đặt các quy tắc này phía trên mọi quy tắc chặn lưu lượng đầu vào.
/ip firewall filter
add chain=input protocol=tcp dst-port=4311 action=add-src-to-address-list \
address-list=knock-1 address-list-timeout=10s comment="knock 1"
add chain=input protocol=tcp dst-port=5822 src-address-list=knock-1 \
action=add-src-to-address-list address-list=knock-2 address-list-timeout=10s comment="knock 2"
add chain=input protocol=udp dst-port=6133 src-address-list=knock-2 \
action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="knock 3"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept comment="Winbox after the knock"
add chain=input protocol=tcp dst-port=8291 action=drop comment="Winbox for everyone else"Gõ bằng kích thước ping
RouterOS cũng có thể khớp kích thước của các yêu cầu echo ICMP. packet-size là toàn bộ gói IPv4: 20 byte tiêu đề IP, 8 byte tiêu đề ICMP và dữ liệu ping, vì vậy 100 byte dữ liệu sẽ đến dưới dạng 128 byte. Trong trình sửa ping của Secret Knock, bạn nhập kích thước dữ liệu; ứng dụng hiển thị kích thước gói ICMP, IPv4 và IPv6 tạo thành, đồng thời cảnh báo khi vượt quá 1280 byte, mức mà gói có thể bị phân mảnh.
/ip firewall filter
add chain=input protocol=icmp packet-size=128 action=add-src-to-address-list \
address-list=ping-1 address-list-timeout=10s comment="ping 100 bytes of data"
add chain=input protocol=icmp packet-size=308 src-address-list=ping-1 \
action=add-src-to-address-list address-list=knocked address-list-timeout=1h comment="ping 280 bytes of data"
add chain=input protocol=tcp dst-port=8291 src-address-list=knocked action=accept
add chain=input protocol=tcp dst-port=8291 action=dropThêm cửa trong ứng dụng
- 1Cửa mới › Bắt đầu từ mẫu › Chuỗi cổng MikroTik hoặc Kích thước ping MikroTik. Cả hai đều đặt Winbox (8291) làm cổng cần kiểm tra.
- 2Nhập các cổng, hoặc kích thước dữ liệu và số lượng ping của bạn.
- 3Gõ, đợi Cửa hé mở, rồi mở Winbox.
Tất cả ví dụ trên GitHub → Mọi cấu hình trên trang này, sẵn sàng để sao chép: github.com/mobilcomm/secretknock-examples (phạm vi công cộng).
Câu hỏi
Vì sao lần gõ MikroTik của tôi không mở?
Kiểm tra thứ tự các quy tắc (các quy tắc gõ phải đứng trước quy tắc chặn), thời hạn address-list và việc router có nhìn thấy địa chỉ mà bạn gõ từ đó hay không — Secret Knock hiển thị địa chỉ này trên màn hình chính.