在现代网络环境中，外网端口映射（Port Forwarding）是实现远程访问的重要工具。然而，这种技术带来的便利性往往也伴随着潜在的安全风险。特别是当你的外网端口暴露在互联网上时，黑客或恶意攻击者可以通过扫描公开的端口来寻找目标，一旦发现漏洞或弱点，就可能发起攻击。
例如，通过像 FOFA 这样的网络安全搜索引擎，任何人都可以查找到所有外网开放的主机。这些扫描工具会在互联网上自动扫描并索引所有开放端口的设备，暴露在公共网络中的设备一旦被发现，就成为黑客攻击的目标。暴露的服务可能包括 SSH、HTTP、RDP 等，而这些服务若没有经过严格的安全配置，就可能成为攻击的入口点。
为了降低这种风险，采取额外的安全措施是非常重要的。端口敲门（Port Knocking） 技术作为一种隐蔽的访问控制手段，能够有效增强外网端口的安全性。它通过要求用户按特定顺序“敲击”一系列端口，来触发访问控制动作，从而有效避免了暴露的端口被直接扫描和攻击。
什么是端口敲门？
端口敲门是一种通过特定的端口序列来触发访问控制的技术。简单来说，用户在访问某个网络设备时，需要按照预设的顺序“敲击”一些端口。当路由器检测到正确的端口序列时，它将暂时开放一个端口，允许合法用户访问。这种方法不仅能够隐藏端口映射的存在，还能增加访问的难度。
MikroTik RouterOS中如何实现端口敲门？
在 MikroTik RouterOS 中，端口敲门的实现过程可以分为两个主要步骤：配置防火墙规则和设置触发动作。
- 配置防火墙规则：
- 首先，管理员需要在 RouterOS 中设置防火墙规则来监控特定的端口。每个端口代表一个“敲门步骤”，只有正确顺序的数据包才能触发后续动作。
- 这些规则会检查外部请求是否符合预设的顺序，如果匹配，则执行允许访问的操作。
- 设置触发动作：
- 一旦防火墙规则检测到正确的端口序列，RouterOS 将启动相关脚本或防火墙操作，例如打开 SSH 或其他远程管理端口。这样，合法用户便能成功访问目标系统。
为什么要使用端口敲门？
- 增强安全性： 端口敲门最大优点在于它能让端口映射变得更加隐蔽。与传统的暴露端口方式不同，攻击者即使知道目标设备的IP地址，也无法直接通过端口扫描找到开放的服务。只有按正确顺序“敲门”才能成功访问。
- 防止暴力破解： 传统的远程访问方法往往容易受到暴力破解攻击，而端口敲门则通过增加“正确顺序”的要求，使得暴力攻击几乎不可能成功。
- 灵活定制： MikroTik RouterOS 的端口敲门技术非常灵活，管理员可以根据实际需求设置不同的端口序列、时限以及触发的动作。这种定制化配置让端口敲门能够应对不同的网络环境和安全需求。
如何配置 MikroTik RouterOS 端口敲门-设置示例
我们假设您已经设置了一个防火墙来丢弃来自 WAN 端口的所有连接尝试，因此您需要在此之前添加其他规则。
首先，创建一个防火墙规则来侦听给定端口并将连接的源 IP 添加到地址列表 – 这是第一次敲门。
/ip/firewall/filter add action=add-src-to-address-list address-list=1IP address-list-timeout=30s chain=input dst-port=111 in-interface-list=WAN protocol=tcp
然后添加一条规则，在另一个端口上执行相同的操作，但仅批准第一个列表中已有的 IP。您可以根据需要多次重复此步骤。
/ip/firewall/filter add action=add-src-to-address-list address-list=2IP address-list-timeout=30s chain=input dst-port=222 in-interface-list=WAN protocol=tcp src-address-list=1ip
最后，最后一次敲门将被添加到受信任的 IP 列表中，并且任何输入都会被接受。
/ip/firewall/filter add action=add-src-to-address-list address-list=secured address-list-timeout=30m chain=input dst-port=9901 in-interface-list=WAN protocol=tcp src-address-list=2IP
/ip/firewall/filter add action=accept chain=input in-interface-list=WAN src-address-list=secured
结语
端口敲门技术是一种非常有效的网络安全措施，能够在不暴露端口的情况下保护你的外网端口映射。通过 MikroTik RouterOS 配置端口敲门，不仅能够隐藏关键端口，还能增加网络安全性，抵御暴力破解攻击和扫描尝试。对于需要保护远程访问的网络环境，端口敲门无疑是一项值得考虑的解决方案。