Port Knocking روی MikroTik: مخفی‌کردن SSH و Winbox

/ip firewall filter

# قانون ۱: قبول SSH برای IPهایی که دنباله را کامل کرده‌اند
add chain=input protocol=tcp dst-port=22 src-address-list=knock_allowed action=accept comment="SSH open for knockers"

# قانون ۲: knock مرحله ۳ — knock نهایی به لیست مجاز اضافه می‌کند
add chain=input protocol=tcp dst-port=3333 src-address-list=knock_stage2 action=add-src-to-address-list address-list=knock_allowed address-list-timeout=30m

# قانون ۳: knock مرحله ۲
add chain=input protocol=tcp dst-port=2222 src-address-list=knock_stage1 action=add-src-to-address-list address-list=knock_stage2 address-list-timeout=15s

# قانون ۴: knock مرحله ۱ — اولین knock
add chain=input protocol=tcp dst-port=1111 connection-state=new action=add-src-to-address-list address-list=knock_stage1 address-list-timeout=15s

# قانون ۵: Drop SSH برای بقیه
add chain=input protocol=tcp dst-port=22 action=drop comment="Default drop SSH"

knock 203.0.113.1 1111 2222 3333

nmap -Pn --host-timeout 100 --max-retries 0 -p 1111 203.0.113.1
nmap -Pn --host-timeout 100 --max-retries 0 -p 2222 203.0.113.1
nmap -Pn --host-timeout 100 --max-retries 0 -p 3333 203.0.113.1

$ip = "203.0.113.1"
foreach ($port in 1111,2222,3333) {
    try { [System.Net.Sockets.TcpClient]::new($ip, $port) } catch {}
    Start-Sleep -Milliseconds 200
}

/ip firewall address-list print where list=knock_allowed