DNS-Proxy, der einfach und schnell ist, mit nicht ganz so einfachen Funktionen. Fokussiert auf geroutete DNS-Weiterleitung, Filterung und Kindersicherung.
Ein DNS-Proxy, der dir echte Kontrolle über dein Heimnetzwerk gibt.
Ich war jahrelang als Berater in der „großen Jungs"-Netzwerk- und Sicherheits-„Arena" tätig. DNS-Sicherheit war/ist meine tägliche Arbeit, aber auch ein Lieblingshobby zum Herumbasteln. Weil ich jetzt Kinder habe und ein verantwortungsvoller Elternteil sein muss, habe ich es auf mich genommen, das große böse Internet für sie zu filtern. Also habe ich sdproxy (Simple DNS Proxy) gebaut. Es bringt Enterprise-/Big-Boy-Schutzmechanismen/-Methoden/-Präzision auf die Ebene des Heimnetzwerks (so ungefähr).
Der Proxy ist in Go geschrieben und kompiliert zu einer schlanken Binärdatei für günstige Router. Es gibt KEINE Cloud-Abonnements oder monatlichen Gebühren. Er spricht jede DNS-Variante und enthält adaptive Admission Control, um stabil zu bleiben. Er ist einfach schlank (so ungefähr), gemein, niederländisch-engineerte Präzision fürs Wohnzimmer. Nur du, eine ausführbare Datei und eine YAML-Datei.
Und denk dran... Es ist immer DNS!
Hinweis: Die full_reference_config.yaml in diesem Repository ist immer aktueller als dieses README. Im Zweifelsfall dort nachschauen.
DNS ist das Telefonbuch des Internets – jedes Gerät in deinem Netzwerk schlägt einen Namen nach, bevor es sich irgendwohin verbindet.
sdproxy sitzt in der Mitte davon, auf deinem Router, und lässt dich entscheiden, was als Nächstes passiert: cachen, blockieren, an einen anderen Resolver weiterleiten, fortgeschrittene ML-Sicherheitsmodelle anwenden oder Zeitlimits pro Kind durchsetzen. Kein Cloud-Abonnement, keine monatliche Gebühr, kein externer Dienst, der ausfällt.
Es ist in Go geschrieben, kompiliert zu einer einzigen Binärdatei und ist schlank genug, um auf günstigen Heimroutern zu laufen (OpenWrt auf einem TP-Link, GL.iNet oder NetGear, pfSense, OPNsense oder einfach eine normale Linux-Box).
Siehe KEY_ADVANTAGES.md für die wichtigsten Vorteile gegenüber Alternativen.
Gutes altes UDP/TCP (Port 53), verschlüsseltes DNS-over-TLS (DoT), DNS-over-HTTPS (DoH) und DNS-over-QUIC (DoQ).
sdproxy parst nativ Alt-Svc-Header und SVCB/HTTPS-ALPN-Parameter, um Standard-DoH-Streams nahtlos on the fly auf hochperformante HTTP/3-(QUIC)-Verbindungen upzugraden.Schützt dein Surfen vor Deep-Packet-Inspection durch den ISP, indem die TLS Server Name Indication (SNI) verschlüsselt wird.
_dns.resolver.arpa SVCB/HTTPS) und die HTTPS-Endpunkte /.well-known/origin-svcb / /.well-known/ech in dein lokales Netzwerk.HTTPS/SVCB-Records (und L7-.well-known-Fallbacks), extrahiert deren ECH-Schlüssel und sichert den TLS-Handshake vollständig autonom ab.Eine native, zero-allocation Logistic-Regression-ML-Inferenz-Engine läuft auf dem Hot Path. Sie extrahiert Shannon-Entropie, Vokal-/Konsonanten-Schiefe, nachgestellte Ziffernmuster und Konsonantenketten, um Algorithmically Generated Domains (DGA), die von Botnets, Malware und C2-Infrastruktur genutzt werden, sofort zu erkennen und zu blockieren.
eTLD+1) innerhalb eines konfigurierbaren Zeitfensters abgefragt werden, um Slow-and-Low-DNS-Tunneling und Info-Stealer-Exfiltration abzufangen.sdproxy leitet Abfragen nicht einfach blind weiter; es bewertet Upstreams dynamisch.
max_secure_upstreams (Standard 5) gesunde Server in einer Gruppe gleichzeitig ab. Inspiziert die Payloads tiefgehend (CNAME-Ketten, finale IP-Endpunkte) mit Unterstützung für fastest-, ordered- und consolidate-Präferenzen (zusammengeführtes Answer-Set) und verwirft oder blockiert die Antwort, wenn Upstreams nicht übereinstimmen oder eine vergiftete NULL-IP zurückgeben.Kürzlich etwas beantwortet? Aus dem Cache ausliefern. sdproxy nutzt 32 kryptografisch geseedete Memory-Shards mit optionaler Disk-Persistenz über Neustarts hinweg. Wenn ein Record abläuft, während er noch populär ist, löst sdproxy ein Hintergrund-Prefetch aus, sodass deine Geräte einen Cache-Miss nie bemerken. Es unterstützt vollständig RFC 8767 Stale-Serving und serve_stale_infinite-Ausfall-Fallbacks.
Richte es auf deine DHCP-Lease-Dateien und /etc/hosts, und es beantwortet lokale Namensauflösungen (dein NAS, dein Drucker, dein Pi), ohne einen Upstream-Resolver zu belästigen oder LAN-Abfragen nach außen zu leaken. Funktioniert mit dnsmasq, ISC DHCP, Kea und odhcpd.
Ordne die Identität eines Geräts einer anderen Upstream-Resolver-Gruppe oder einem Elternprofil zu.
CC:XX via IPinfo), Client-Name, TLS SNI (sni:), HTTP-DoH-Pfade (path:) und Listener-Ports (port:).force-and: true (z. B. Subnetz UND Listener-Port).rcode: REFUSED, NXDOMAIN, BLOCK, DROP) direkt an eine Routing-Regel für sofortige Client-Quarantäne.Richte ein Profil pro Kind ein, weise deren Geräte zu und konfiguriere:
group oder pro device). Unterstützt ALLOW, BLOCK, FREE, LOG, UNLIMITED und temporäre UNTRIGGER-Fenster-Overrides.Optionale, passwortgeschützte browserbasierte UI (HTTP/HTTPS oder gemultiplext auf DoH-Port 443) für den Live-Betrieb.