HINWEIS: Die Lizenz hat sich von der CMD-Version (GPLv3) geändert. Die 'FULL'-Version (aktueller Branch) ist unter AGPLv3 lizenziert.

Übersicht

DNXFIREWALL™ ist eine optimierte/hochleistungsfähige Sammlung von Anwendungen und Diensten, um ein Standard-Linux-System in eine zonierte Next-Generation-Firewall zu verwandeln. Die primären Sicherheitsmodule haben DIREKTE/INLINE-Kontrolle über alle Verbindungen, Streams und Nachrichten, die durch das System gehen.

                       ------------------------------------------------------
                       | (outbound)                                         |
                       |                                                    V
                       |                                 --------------> [dns proxy (*1)] --------
                       |                                 | (outbound)                            |
                       |          (bi-directional)       |                                       V
TCP/IP stack ----> [cfirewall] -------------------> [ip proxy] ------------------------> ((*packet verdict*)) ----> TCP/IP stack
                      |  |                               |                                       ^    ^
                      |  |                               | (inbound)                             |    |
                      |  |                               --------------> [ids/ips (*2)] ----------    |
                      |  |                                                  ^                         |
                      |  | (inbound)                                        |                         |
                      |  ----------------------------------------------------                         |
                      |                                                                               |
                      ---------------------------------------------------------------------------------

(*1) Der DNS-Proxy ist speziell dafür ausgelegt, DNS-Payloads zu inspizieren, die zwischen internen Netzwerken oder vom LAN ins Internet gehen.
(*2) Das IDS/IPS ist (zumindest vorerst) speziell dafür ausgelegt, nur Datenverkehr vom Internet in die LAN-Netzwerke zu inspizieren.
- Diese Entscheidung basiert auf der Tatsache, dass 99,99 % (Verallgemeinerung) der Bedrohungen in diesem Bereich aus dem Internet stammen.

Ein Video zur low-level "Architektur, Systemdesign" wird irgendwann erstellt, um zu zeigen, wie dies mit reinem Python möglich ist.

Enthaltene Funktionen

NEU: SQLite3 ist jetzt die Standarddatenbank (zur Vereinfachung der Bereitstellung). PostgreSQL ist weiterhin im Backend vorhanden und kann in einer zukünftigen Version während der Systembereitstellung aktiviert werden.

NEU: Das automatische Bereitstellungswerkzeug (Autoloader) ist jetzt live. Es sollte verwendet werden, um das System auf jeder kompatiblen Distribution bereitzustellen. Siehe kompatible Distributionsliste für weitere Details.

NEU: Vollständige zonierte Firewall-Regeln (Quelle und Ziel) und pro Regel basierende Sicherheitsprofile.

Benutzerdefinierter Paket-Handler
- Implementiert in C
- Zustandsbehaftete oder zustandslose Paketinspektion
- Komplexe Paketentscheidungen (Paketaktion an Sicherheitsmodule delegieren)
DNS-Proxy (ausgehend oder netzwerkübergreifend)
- Kategoriebasiertes Blockieren (allgemein, TLD, Teilstring-Matching)
- Vom Benutzer hinzugefügte Whitelist/Blacklist oder Erstellung eigener allgemeiner Kategorien
DNS-Server (kürzlich vom DNS-Proxy getrennt, teilt sich aber Prozessressourcen)
- Native DNS-over-TLS-Konvertierung mit optionalem UDP-Fallback
- Lokaler DNS-Server (autoritativ durch Paketmanipulation)
- Automatischer Software-Failover
- 2 Stufen der Rekord-Caching
IP-Proxy (transparent) bidirektional
- Reputationsbasierte Host-Filterung (Erkennung in C implementiert)
- Geobasierter Filter (Landersperrung, Erkennung in C implementiert)
IPS/IDS (eingehend)
- Erkennung/Verhinderung von Denial-of-Service-Angriffen
- Erkennung/Verhinderung von Portscans
Leichter DHCP-Server (native Software)
- IP-Reservierungen
- Steuerung auf Schnittstellenebene (aktivieren/deaktivieren)
- Integration von Sicherheitswarnungen
Allgemeine Dienste
- Log-Verarbeitung
- Datenbankverwaltung
- Syslog-Client (UDP, TCP, TLS) WICHTIG: Aufgrund vieler interner API-Änderungen derzeit nicht nutzbar. Dieser Dienst wird standardmäßig nicht aktiviert.
Zusätzliche Funktionen
- IPv6 deaktiviert
- Umgehung des DNS-Proxys verhindert
  - DNS-over-HTTPS eingeschränkt
  - DNS-over-TCP eingeschränkt
  - DNS-over-TLS eingeschränkt
- Moderne Weboberfläche für die Verwaltung
- Benutzerdefiniertes Shell-Werkzeug für Systemwartung
  - Enthält integrierten System-(dnxfirewall)-Updater für Ein-Klick-Updates

Zur Bereitstellung (mit Autoloader)

Wählen Sie eine Linux-Distribution aus der kompatiblen Liste (siehe unten)
Installieren Sie Linux auf physischer Hardware oder einer VM

2a. (3) Schnittstellen sind erforderlich (WAN, LAN, DMZ)

2b. Erstellen Sie während der OS-Installation oder danach den Benutzer "dnx"

2c. Installieren und machen Sie Python3.8 zur Standardversion (falls zutreffend)
Aktualisieren Sie das System (upgrade und update)
Installieren Sie Git
Klonen Sie https://github.com/dowrighttv/dnxfirewall.git in das Home-Verzeichnis des Benutzers "dnx" (/home/dnx)
Melden Sie sich als Benutzer "dnx" an und führen Sie den Befehl aus: sudo python3 dnxfirewall/dnx_run.py cli autoloader
Folgen Sie den Anweisungen, um die physischen Schnittstellen den integrierten Zonen von dnxfirewall zuzuordnen
Nach Abschluss des Werkzeugs starten Sie das System neu und navigieren Sie zur angegebenen URL

Kompatible Linux-Distributionen mit dnxfirewall Autoloader

Debian-basierte Distributionen
- Linux-Kernel >= 2.6.31
- Python 3.8+
- netplan (ubuntu Schnittstellen-/Netzwerk-Manager)

Externe Mitwirkende

afallenhope - Webdesign, UX und Templating -> https://github.com/afallenhope

Externe Codequellen

https://www.ip2location.com/free/visitor-blocker | Geolokalisierungsfilter-Datensätze (IP-Adresszuweisungen nach Land)

https://gitlab.com/ZeroDot1/CoinBlockerLists | Cryptominer-Host-Datensatz

nur psql: https://github.com/tlocke/pg8000 | reiner Python-PostgreSQL-Adapter

dnxfirewall

Beliebteste