fb logo  VK  Feed icon.svg  

Port Knocking с использованием ICMP на MikroTik

опубликовал от 10 Октябрь, 2020

Данный вариант отличается от классического Port Knocking тем, что вместо определенных портов мы будем использовать ICMP-пакеты различного размера. Это проще сделать стандартными средствами ОС и труднее поддается анализу при перехвате трафика, так как не столь бросается в глаза.

Несмотря на стандартный размер MTU в 1500 байт, это значение может быть уменьшено при использовании VLAN, VPN и т.д., поэтому мы не советуем использовать пакеты размером более 1000 байт, также учтите размер заголовков ICMP-пакета в 28 байт.

Просто выберите два (или более) произвольных числа до 1000, которые и будут вашими ключами для Port Knocking, в нашем случае это будут 250 и 209. Точно также, как и в предыдущем способе правила будут строиться относительно разрешения для уже установленных соединений.

Нам снова понадобится создать два правила для добавления адреса источника в соответствующие листы. В первом правиле укажем на General: Chain - input, Protocol - icmp, а на Advanced: Packet Size - 278 (250 + 28) - размер нашего первого пакета, на Action: Action - add src to address list, Address List - KNOCK-1, Timeout - 00:00:30.

Вкладка: Advanced

9999

Вкладка: Action

888

Во втором зададим следующие значения: General: Chain - input, Protocol - icmp, Advanced: Src. Address List - KNOCK-1, Packet Size - 237 (209 + 28) - размер второго пакета, на Action: Action - add src to address list, Address List - KNOCK-ACCEPT, Timeout - 00:01:00.

Либо выполним в терминале:

 

/ip firewall filter
add action=add-src-to-address-list address-list=KNOCK-1 address-list-timeout=30s chain=input packet-size=278 protocol=icmp
add action=add-src-to-address-list address-list=KNOCK-ACCEPT address-list-timeout=1m chain=input packet-size=237 protocol=icmp src-address-list=KNOCK-1

 

Данные правила следует расположить выше правила разрешающего установленные и сопутствующие соединения. Остальные настройки полностью повторяют предыдущий способ.

Чтобы постучаться таким образом из Linux выполним:

 

ping XXX.XXX.XXX.XXX -s 250 -c 1
ping XXX.XXX.XXX.XXX -s 209 -c 1

 

Где ключ -s задает размер пакета (без учета заголовка), а ключ -с количество посылаемых пакетов, в нашем случае один.

В Windows синтаксис будет немного иной:

 

ping XXX.XXX.XXX.XXX -l 250 -n 1
ping XXX.XXX.XXX.XXX -l 209 -n 1

 

Здесь за размер пакета отвечает ключ -l, а за количество пакетов -n.

В Windows можно просто создать *.cmd и *.bat файл с таким содержимым.

Принцип работы не отличается от предыдущего метода, получив ICMP-пакет размером в 250 байт адрес источника будет занесен в первый список. Затем в течении 30 секунд мы должны прислать второй пакет размером в 209 байт, в этом случае адрес будет занесен в список KNOCK-ACCEPT и в течении минуты с устройством можно будет установить соединение.

На наш взгляд данный способ более удобен, так как позволяет использовать только штатные инструменты операционных систем и более сложен для выявления при анализе трафика. Также можно сочетать сразу оба способа, скажем, сначала постучать на выбранный порт, а затем прислать ICMP-пакет нужного размера. В любом случае выбор остается за вами и ограничивает вас только ваша фантазия и здравый смысл.

Прочитано 4251 раз Последнее изменение Суббота, 10 Октябрь 2020 16:28
Алекс Ньюсмейкер

Нахожу для вас самые интересные новости!

Другие материалы с нашего сайта:

Добавить комментарий

Комментарий будет удалён, если не будет содержать осмысленный текст. В тексте сообщения не должно быть бесполезных ссылок на другие сайты.

 rss  vk groupe

 

Через месяц эпидемия короновируса накроет РБ
В связи с распространением коронавируса настоятельно рекомендуется использовать UDP вместо TCP, чтобы избежать лишних рукопожатий.   Друг из Китая сказал, что лучше не брать коронавирус Covid-19, так как в сентябре выйдет новая версия Covid-20.   - Рабинович, вы заболели и до
Анекдот дня
В черном-черном городе, на черной-черной улице, в черном-черном доме, в черно-черной квартире сидит черный-черный мужик и говорит: - Никогда больше не буду сам заправлять картриджи!  
«
»
  • 1
  • 2
  • 3
  • 4
  • 5


Нравится ли вам наш блог?

Услуги по удалённой настройке MikroTik
Полноценное использование маршрутизатора MikroTik достигается только в результате его грамотной настройки. Неопытный специалист может очень долго провозиться с маршрутизатором, так и не заставив его
Услуги переустановки Windows с выездом в офис
Переустановка Windows на дому и офисе с выездом по Минску весьма востребованная услуга. Иногда ввиду заражения вирусами или вредоносными программами, а также после случайно удаления системных
Услуги ремонта компьютеров с выездом в офис
Каждый из нас хоть раз сталкивался с неожиданной поломкой компьютера, его комплектующих, или же выхода из строя программного обеспечения. Зачастую, это происходит в самый неподходящий момент: когда
Услуги настройки Wi-Fi сети на дому и в офисе
Настроим любые Wi-Fi роутеры с выездом к вам на дом или в офис по Минску. Современные компьютерные технологии предлагают пользователю все новые достижения, способные сделать работу с компьютером и
Услуги по настройке модемов на дому и в офисе
Настроим роутеры белорусских интернет провайдеров с выездом на дом и в офис по Минску. Сегодня многие пользователи знакомы с беспроводными сетями, знают о преимуществах их использования. Однако
Услуги восстановления данных с выездом в офис
Hаши специалисты смогут помочь Вам восстановить информацию с выездом по Минску и удалённо. Опытные сотрудники нашей компании помогут вернуть важные данные, соблюдая конфиденциальность и ваши
Услуги переустановки и настройки программ в офисе
Для начинающих пользователей Windows и Mac мы предлагаем услуги переустановки и настройки популярного программного обеспечения с выездом по Минску и удалённо. Мы можем переустановить на Вашем
Услуги настройки и обслуживания локальных сетей
Настройка локальной сети в Минске является ответственным этапом запуска сетей и требует тщательной проработки квалифицированными специалистами. Локальные сети (проводные и беспроводные) дают
Услуги настройки роутеров в офисе и на дому
Использование маршрутизатора (англ. router) возможно только после его правильной настройки, а это не так уж и просто. Как правило нет опредёлённой методологии для осуществления настройки, ведь
Услуги чистки ноутбуков от пыли в офисе
Одна из самых распространенных неисправностей ноутбука является перегрев из-за забившейся пылью системы охлаждения. В следствии чего ноутбук тормозит, а порой даже выключается.  Если Ваш
Услуги настройки интернета с выездом в офис
Окажем помощь в настройке интернета на самых разных устройствах: телевизорах, планшетах, ноутбуках, стационарных компьютерах и мобильных телефонах с выездом по городу. Настроим роутеры и модемы у
Услуги приходящего системного администратора
Как показывает практика, содержание в штате сотрудников, выполняющих администрирование компьютеров очень затратно. Позволить себе это могут в основном крупные компании. Если Вы не относитесь к
«
»
  • 1
  • 2
Пользователи Windows 11 сообщают о новых багах - у них остаются старые меню пуск и панель управления
Многочисленные специалисты в сети интернет не единожды рекомендовали не торопиться устанавливать новую операционную систему Windows 11, ссылаясь на негативный опыт прошлых выпусков, а советовали
Через пару лет у Seagate будут готовы жёсткие диски объёмом 30 Тбайт
Представители ресурса Tom’s Hardware удосужились изучить стенограмму выступления финансового директора Seagate Technology Джанлуки Романо (Gianluca Romano) на мероприятии Citi Global Technology
Появилось фото реального процессорного разъёма Intel LGA 1700
Процессорный разъём LGA 1700, которому суждено до конца этого года приютить процессоры Intel семейства Alder Lake-S, до сих пор появлялся преимущественно на чертежах и схематических изображениях, но
Team Group наглядно продемонстрировала различия между DDR5 и DDR4
Смена поколений оперативной памяти происходит не так часто, а потому компания Team Group уцепилась за этот информационный повод, чтобы привлечь к своей продукции дополнительное внимание клиентов. На
«
»
  • 1
  • 2

Авторизация