так ребяты

каво чево

нашёл одну опечатку, уже поправил

опечатку в правилах

в итге с чего начать проверку?

У нас тут R&D идет :D

Максим, сам проверит

походу нада время уменьшить секунд до 10... а то мы так до завтра тестить будем)

Через скрипт

что вы там тестите

кто-то даст вариант на проверку?

какой именно

10 минут проверка эта будет работать с 90 сек

Не так уж и много, зато будет гарантия :)

вы щас о чем вообще?

как сделать проверку через скрипт баша или о чем?

разговор в один конец :)

Мы проверяем правила пока что

версию правил можно?

С виду нам кажется что они должны работать и нарушения в логике нет, теперь опытным путем проверям

я тоже хочу

Они выше написаны же

опытным путем

там чота многабукаф

правки

версию правил можно?

/ip firewall filter add action=jump chain=input comment="knock to port 111" dst-port=111 in-interface-list=WANs jump-target=chain_111 \ protocol=tcp add action=add-src-to-address-list address-list=port111 address-list-timeout=30s chain=chain_111 add action=add-src-to-address-list address-list=port111+222 address-list-timeout=30s chain=chain_111 src-address-list=\ port222 add action=add-src-to-address-list address-list=port111+333 address-list-timeout=30s chain=chain_111 src-address-list=\ port333 add action=add-src-to-address-list address-list=white_list address-list-timeout=30s chain=chain_111 src-address-list=\ port222+333 add action=jump chain=input comment="knock to port 222" dst-port=222 jump-target=chain_222 protocol=tcp add action=add-src-to-address-list address-list=port222 address-list-timeout=30s chain=chain_222 add action=add-src-to-address-list address-list=port111+222 address-list-timeout=30s chain=chain_222 src-address-list=\ port111 add action=add-src-to-address-list address-list=port222+333 address-list-timeout=30s chain=chain_222 src-address-list=\ port333 add action=add-src-to-address-list address-list=white_list address-list-timeout=30s chain=chain_222 src-address-list=\ port111+333 add action=jump chain=input comment="knock to port 333" dst-port=333 jump-target=chain_333 protocol=tcp add action=add-src-to-address-list address-list=port333 address-list-timeout=30s chain=chain_333 add action=add-src-to-address-list address-list=port111+333 address-list-timeout=30s chain=chain_333 src-address-list=\ port111 add action=add-src-to-address-list address-list=port222+333 address-list-timeout=30s chain=chain_333 src-address-list=\ port222 add action=add-src-to-address-list address-list=white_list address-list-timeout=30s chain=chain_333 src-address-list=\ port111+222 add action=accept chain=input dst-port=22 protocol=tcp src-address-list=white_list

где вариация крайняя

во

ща будем поглядеть

С виду нам кажется что они должны работать и нарушения в логике нет, теперь опытным путем проверям

Смотрите в чём суть, он в списки добавляет на каждом шаге, но nmap почему то не отрабатывает и не выдаёт открытый порт. Хотя коннект на него работает стабильно

А что nmap пишет ? colsed ?

/home/vm/testsc.sh 22/tcp open ssh

А что nmap пишет ? colsed ?

max@mail:~$ ./test_port_knock.sh mass_dns: warning: Unable to determine any DNS servers. Reverse DNS is disabled. Try using —system-dns or specify valid servers with —dns-servers mass_dns: warning: Unable to determine any DNS servers. Reverse DNS is disabled. Try using —system-dns or specify valid servers with —dns-servers mass_dns: warning: Unable to determine any DNS servers. Reverse DNS is disabled. Try using —system-dns or specify valid servers with —dns-servers mass_dns: warning: Unable to determine any DNS servers. Reverse DNS is disabled. Try using —system-dns or specify valid servers with —dns-servers

суть в том что слёту не должно добавлять во все списки

А ты по имени указывал ?

Напиши IP, у меня какие то проблемы с резольвингом

суть в том что слёту не должно добавлять во все списки

каждый шаг добавляет сразу во все списки, включая вайт

а не должно так

Напиши IP, у меня какие то проблемы с резольвингом

IP и написан

а не должно так

почему?

балин

потому что задачу читали?

последовательно стучишь на три порта в любой последовательности и попадаешь в вайт лист. Так?

стукнулся в один порт, затем в другой, затем в третий, и на четвртый раз смог подключиться по ссш

IP и написан

Очень странно, у тебя DNS прописаны в /etc/resolv.conf ?

до того момента ты не долежн попадать по ссш

ну на четвёртый мы стучимся в ssh порт)

до того момента ты не долежн попадать по ссш

до того момента ты и не попадёшь)

при чем стучаться можно от балды в любой последовательности

нужно даже

не можно а нужно

в том и задача

НУЖНО

Очень странно, у тебя DNS прописаны в /etc/resolv.conf ?

нет, эта машина и есть DNS

127.0.0.1 могу прописать

при чем стучаться можно от балды в любой последовательности

этот вопрос решён

Сейчас работаем над схемой проверки этих правил.

нов правилах есть джамп

нов правилах есть джамп

и?

надо без него

надо без него

что-то я не видел этого в условиях задачи

Добавь nmap правило —dns-servers 127.0.0.1

экшен только добавить в адрес лист

А чем jump не подходит ?

что-то я не видел этого в условиях задачи

я ж писал тлоько листами

Я тоже не вижу нарушения условий

:D

Ну короче твой вариант 18 правил

Добавь nmap правило —dns-servers 127.0.0.1

for x in 111 222 333; do nmap -Pn —host_timeout 2 —dns-servers 127.0.0.1 —max-retries 0 -p $x $host > /dev/null 2>&1; done nmap -p$portssh $host | grep $portssh sleep $sec

Раз столько ограничений есть

3 в 3 степпени

Добавь nmap правило —dns-servers 127.0.0.1

всё равно ругается

Стоп.... Я придумал лучше!!!!!!!!! Только что придумал....... 6 правил!!!!!!!!!!!

я вот не понимаю ка клюди уложили это в 6-7 правил

ну либо в резольв конф напиши nameserver 127.0.0.1 так проще будет

Стоп.... Я придумал лучше!!!!!!!!! Только что придумал....... 6 правил!!!!!!!!!!!

так пандос жарь

У нас же есть пастру!!!!!!!!!!!

Дальше думайте сами

passtry ? :D

У нас же есть пастру!!!!!!!!!!!

хитёр медведь) ой хитёр

или passthrough ?