Портно́ккинг с помощью скрипта.

Это хорошая идея запустить dst-устройство для port-knocking, но обязательно делайте это так:

:do {/tool fetch host= src-path=SOMERANDOMSTRING mode=http port=9119 keep-result=no} on-error={}
:do {/tool fetch host= src-path=SOMERANDOMSTRING mode=http port=9229 keep-result=no} on-error={}

По непонятным причинам скрипты rOS просто останавливаются (без каких-либо записей об ошибках или предупреждений), если какая-то команда завершается с ошибкой.

Поскольку обе эти команды fetch вызовут ошибку (например, если запустить их напрямую из командной строки — статус будет “failed”), скрипт выполнит только первую строку, а вторую (и всё последующее после ошибки) — нет.

Таким образом, вы не получите эффект port knocking, потому что сработает только первая команда, и вы, скорее всего, потратите кучу времени, думая, что что-то не так с правилами файервола или скриптом.

(Если только вы не запускаете HTTPd сервер на всех портов, которые “стучите”, а, конечно, никто этого не делает. Поэтому, как и ожидалось, /tool fetch с mode=http выдаёт “failed”, так как не может подключиться к валидному HTTP-серверу.)

Неожиданно то, что это убивает скрипт, поэтому нужно добавлять :do … on-error {}.

О, мне это нравится. Размеры ICMP-пакетов тоже довольно непонятны для того, кто прослушивает трафик.