Port knocking

Port knocking — механизм управления доступом к сетевой службе, при котором межсетевой экран по умолчанию блокирует её порт. Клиент посылает заранее определённую последовательность сетевых пакетов, обычно к заданным TCP- или UDP-портам, после чего правило фильтрации разрешает его IP-адресу подключение к целевой службе, как правило, на ограниченное время. Для передачи последовательности могут использоваться TCP- и UDP-пакеты, а в отдельных реализациях — ICMP; реализация отслеживает их порядок, интервалы и источник. Простые схемы уязвимы к перехвату и повторной передаче последовательности, поэтому защищённые варианты используют одноразовые значения или иную криптографическую защиту от повторов. SPA обычно применяют как альтернативный подход с одним авторизующим пакетом. Механизм не заменяет аутентификацию, шифрование и журналирование. Port knocking используют для уменьшения видимости административных служб, например SSH, в сетях с ограниченным числом операторов. От статического ACL он отличается способом активации разрешения: распознанный сигнал клиента служит триггером для динамического изменения правила фильтрации.