跳至内容
Secret Knock
ZH-HANS

支持

请使用下方表单向我们发送信息，或写信至 [email protected]。请告诉我们您的设备、服务器软件（knockd 或 fwknopd），以及您敲门时发生的情况——切勿向我们发送您的敲门序列或密钥。

联系我们

关于什么？

我们可以如何帮助您？请告诉我们您的设备、服务器软件（knockd 或 fwknopd）以及发生的情况。

仅当您想收到回复时填写。切勿发送您的敲门序列或密钥。

添加截屏前，请确认其中不显示敲门序列或密钥。

将发送的内容

  • 您的信息和请求类型
  • 您的电子邮件地址（如果您填写了）
  • 截屏（如果您添加了）
  • 页面语言；为防止滥用，服务器会保留发送信息所用的 IP 地址

我们如何处理这些信息：请参阅隐私政策中的支持表单部分。

敲门未打开端口

  1. 1检查主屏幕显示的敲门来源地址，并与服务器日志进行比较。如二者不同，请为服务器固定 IPv4 或 IPv6。
  2. 2检查服务器：knockd 和 fwknopd 会记录每次识别到的敲门。如果没有记录，说明数据包未到达服务器。
  3. 3对照 App 中的序列，检查 knockd.conf 中的 seq_timeout 和端口顺序。
  4. 4使用移动数据或 VPN 时，您的公网地址会改变 — 切换网络后请再次敲门。
阅读 Port knocking 指南 →

问题

什么是端口敲门？

端口敲门可将 SSH 等服务隐藏在关闭的防火墙之后。只有先发送一组秘密连接尝试模式（即敲门）的地址，防火墙才会为其打开服务。knockd 会监测端口序列；fwknop 则接受一个加密的单数据包授权数据包。

Secret Knock 可与哪些服务器配合使用？

任何运行 knockd 或 fwknopd 的服务器，以及在收到一系列 TCP 或 UDP 连接尝试后打开端口的防火墙——例如 Linux VPS、家庭服务器、NAS 或路由器。

它可与 MikroTik 或 DrayTek 路由器配合使用吗？

可以。通过连接尝试或 ICMP 数据包大小实现的 MikroTik 端口敲门均可使用，Secret Knock 会发送路由器规则所要求的 ping 大小。对于 DrayTek Vigor 路由器，它会像 DrayTek 自家的 Port Knocking Tool 一样敲门：先敲第一个端口，然后敲由路由器 TOTP 代码生成的两个端口。模板会填入常用设置。

没有自己的服务器也能试用吗？

可以。首次启动后，Secret Knock 会添加一扇演示门：位于 demo.secretknock.app 的公共测试服务器。按住它的敲门器，服务器会为你的地址打开一个端口 30 秒，让你可以在添加自己的服务器之前体验完整流程。演示门不计入免费服务器数量。

端口敲门安全吗？

传统敲门序列以明文传输，因此应将其视为强 SSH 密钥之前的额外一层防护，而非替代方案。fwknop SPA 更强：每个数据包都会加密、通过 HMAC 认证，且无法被重放。

它可在 Apple Watch 上使用吗？

可以。Apple Watch App 无法自行发送原始网络数据包，因此 Apple Watch 会通过你的 iPhone 敲门。离开 iPhone 后，如服务器已启用此功能，Apple Watch 可通过 HTTP 发送 fwknop SPA。

为什么敲门后端口没有打开？

最常见的情况是，敲门通过 IPv6 发出，而 SSH 通过 IPv4 连接，或反过来；也可能是服务器看到的是不同的公共 IP 地址。Secret Knock 会显示你敲门时使用的地址，并可让你为每台服务器固定使用 IPv4 或 IPv6。端口敲门指南还介绍了其他原因。

Secret Knock 会收集任何数据吗？

不会。没有账户、没有分析，也没有跟踪。你的服务器和密钥会保留在你的设备上以及你自己的 iCloud 中。

价格是多少？

一台服务器可免费使用全部功能。无限服务器为一次性购买，适用于 iPhone、iPad、Mac 和 Apple Watch，并支持家人共享。