DNS-Proxy, der einfach und schnell ist, mit nicht ganz so einfachen Funktionen. Fokussiert auf geroutete DNS-Weiterleitung, Filterung und Kindersicherung.
Ein DNS-Proxy, der Ihnen echte Kontrolle über Ihr Heimnetzwerk gibt.
Ich war jahrelang als Berater in der "großen" Netzwerk- und Sicherheits-"Arena" tätig. DNS-Sicherheit war/ist meine tägliche Arbeit, aber auch ein Lieblingshobby zum Basteln. Weil ich jetzt Kinder habe und ein verantwortungsvoller Elternteil sein muss, habe ich es mir zur Aufgabe gemacht, das große böse Internet für sie zu filtern. Also habe ich sdproxy (Simple DNS Proxy) gebaut. Er bringt Schutzmechanismen/Methoden/Präzision auf Enterprise-"Große-Jungs"-Niveau (so ungefähr) auf die Ebene des Heimnetzwerks.
Der Proxy ist in Go geschrieben und kompiliert zu einem schlanken Binary für günstige Router. Es gibt KEINE Cloud-Abonnements oder monatlichen Gebühren. Er spricht jede Variante von DNS und enthält adaptive Admission Control, um stabil zu bleiben. Er ist einfach schlank (so ungefähr), gemein, niederländisch-engineerte Präzision für das Wohnzimmer. Nur Sie, eine ausführbare Datei und eine YAML-Datei.
Und denken Sie daran... Es ist immer DNS!
Hinweis: Die full_reference_config.yaml in diesem Repository (auch über sdproxy --example-config in das Binary eingebettet) ist immer aktueller als diese README. Im Zweifelsfall schauen Sie dort nach.
DNS ist das Telefonbuch des Internets – jedes Gerät in Ihrem Netzwerk schlägt einen Namen nach, bevor es sich irgendwohin verbindet.
sdproxy sitzt dazwischen, auf Ihrem Router, und lässt Sie entscheiden, was als Nächstes passiert: cachen, blockieren, an einen anderen Resolver weiterleiten, fortgeschrittene ML-Sicherheitsmodelle anwenden oder Zeitlimits pro Kind durchsetzen. Kein Cloud-Abonnement, keine monatliche Gebühr, kein externer Dienst, der ausfällt.
Er ist in Go geschrieben, kompiliert zu einem einzigen Binary und ist schlank genug, um auf günstigen Heimroutern zu laufen (OpenWrt auf einem TP-Link, GL.iNet oder NetGear, pfSense, OPNsense oder einfach eine gewöhnliche Linux-Box).
Siehe KEY_ADVANTAGES.md für die wichtigsten Vorteile gegenüber Alternativen.
Gutes altes UDP/TCP (Port 53), verschlüsseltes DNS-over-TLS (DoT), DNS-over-HTTPS (DoH) und DNS-over-QUIC (DoQ).
sdproxy parst nativ Alt-Svc-Header und SVCB/HTTPS-ALPN-Parameter, um Standard-DoH-Streams nahtlos und im laufenden Betrieb auf hochperformante HTTP/3-(QUIC-)Verbindungen zu aktualisieren.Schützt Ihr Surfen vor Deep-Packet-Inspection durch den ISP, indem die TLS Server Name Indication (SNI) verschlüsselt wird.
sdproxy fungiert als vollständiger ECH-Server, entschlüsselt Client Hellos und verbreitet seine eigenen Schlüssel nativ in Ihrem lokalen Netzwerk über DDR (_dns.resolver.arpa SVCB/HTTPS) sowie über die HTTPS-Endpunkte /.well-known/origin-svcb / /.well-known/ech.sdproxy aktiv deren HTTPS/SVCB-Records (und L7-.well-known-Fallbacks) ab, extrahiert deren ECH-Schlüssel und sichert den TLS-Handshake vollständig autonom.Eine native, allokationsfreie Logistic-Regression-ML-Inferenz-Engine läuft auf dem Hot Path. Sie extrahiert Shannon-Entropie, Vokal-/Konsonanten-Verzerrung, Muster abschließender Ziffern und Konsonantenketten, um algorithmisch generierte Domains (DGA), die von Botnets, Malware und C2-Infrastruktur verwendet werden, sofort zu erkennen und zu blockieren.
_for-sale. & Erkennung geparkter Domains_for-sale.-Erkennung (server.for_sale): Prüft _for-sale.<qname> und _for-sale.<apex> auf gültige RFC 10023 TXT-Records (v=FORSALE1;) mithilfe eines 64-Shard-Verdict-Caches, vollständiger Parent-Chain-Cache-Walks und SingleFlight-Coalescing. Unterstützt disabled, BLOCK, DROP, LOG oder jeden standardmäßigen DNS-RCODE.server.parked): Erkennt geparkte Domains, intermediäre Parent-Domains und eTLD+1-Apexes, indem aktiv und passiv autoritative NS-, SOA-, TXT-, CNAME- und A/AAAA-Records auf gängige Anbieter von Domain-Parking und Aftermarket-Monetarisierung (Sedo, Bodis, ParkingCrew, Above.com, Dan.com, Afternic, CashParking, HugeDomains, Squadhelp/Atom, Uniregistry, ParkLogic, RookMedia usw.) geprüft werden.(client/subnet, apex domain) innerhalb eines konfigurierbaren Zeitfensters abgefragt werden (mit optionalem exempt_shared_hosting), um Slow-and-Low-DNS-Tunneling und Info-Stealer-Exfiltration abzufangen, ohne einen clientübergreifenden Denial of Service zu ermöglichen.rrs:) mit Regex-Unterstützungrtype_policy), Domain-Suffixe, IPs/CIDRs oder reguläre Ausdrücke (/pattern/) über Inline-Konfiguration, lokale Dateien oder Remote-URLs.rrs:): Überschreiben globaler oder gruppenspezifischer Domains (exakt oder /pattern/-Regex) mit statischen IPv4/IPv6-Adressen oder transparenten rekursiven CNAME-Aliasen (z. B. zur Durchsetzung von SafeSearch).sdproxy leitet Abfragen nicht einfach blind weiter; es bewertet Upstreams dynamisch.
max_secure_upstreams (Standard 5) gesunde Server einer Gruppe gleichzeitig ab. Führt eine Tiefenprüfung der kanonischen RRset-Fingerabdrücke durch (CNAME-Ketten, finale IP-Endpunkte, SVCB/HTTPS, DNSSEC-Status) mit Unterstützung für die Präferenzen fastest, ordered und consolidate (zusammengeführtes Antwortset). Im strict-Modus werden 100 % Beteiligung und Antwortäquivalenz erzwungen; im loose-Modus wird eine Mehrheit der gesunden Responder verwendet. Verwirft oder blockiert die Antwort, wenn Upstreams nicht übereinstimmen oder eine vergiftete NULL-IP zurückgeben.Kürzlich etwas beantwortet? Wird aus dem Cache ausgeliefert. sdproxy nutzt 32 kryptografisch geseedete Speicher-Shards mit optionaler absturzsicherer Festplattenpersistenz über Neustarts hinweg (einschließlich Fingerprinting der Routenkonfiguration). Wenn ein Record abläuft, während er noch populär ist, löst sdproxy ein Hintergrund-Prefetch aus, sodass Ihre Geräte nie einen Cache-Miss bemerken. Es unterstützt vollständig RFC 8767 Stale-Serving, strikte DNSSEC-RRSIG-Ablaufgrenzen und serve_stale_infinite-Ausfall-Fallbacks.
Richten Sie es auf Ihre DHCP-Lease-Dateien und /etc/hosts, und es beantwortet lokale Namensauflösungen (Ihr NAS, Ihr Drucker, Ihr Pi), ohne einen Upstream-Resolver zu belästigen oder LAN-Abfragen nach Upstream zu leaken. Funktioniert mit dnsmasq, ISC DHCP, Kea und odhcpd.