sdproxy

Proxy DNS simple y rápido con funciones no tan simples. Enfocado en reenvío DNS enrutado, filtrado y control parental.

Qué hace

Habla todos los sabores de DNS y se autoactualiza

El clásico UDP/TCP (puerto 53), DNS cifrado sobre TLS (DoT), DNS sobre HTTPS (DoH) y DNS sobre QUIC (DoQ).

• Actualizaciones dinámicas a DoH3: sdproxy analiza de forma nativa las cabeceras Alt-Svc y actualiza sin problemas los flujos DoH estándar a conexiones HTTP/3 (QUIC) de alto rendimiento sobre la marcha.

Encrypted Client Hello (ECH) y autodescubrimiento DDR

Protege tu navegación de la inspección profunda de paquetes de tu ISP cifrando el Server Name Indication (SNI) de TLS.

• ECH entrante: sdproxy actúa como un servidor ECH completo, descifrando los client hellos y difundiendo de forma nativa sus propias claves a tu red local mediante DDR (Discovery of Designated Resolvers).
• Autodescubrimiento ECH saliente: al comunicarse con proveedores upstream, sdproxy interroga activamente sus registros HTTPS/SVCB, extrae sus claves ECH y asegura el handshake TLS de forma completamente autónoma.

Detección de DGA mediante Machine Learning

Un motor de inferencia ML de Regresión Logística nativo y de cero asignaciones se ejecuta en la ruta crítica. Extrae la entropía de Shannon, el sesgo de vocales/consonantes y las cadenas de n-gramas para detectar y bloquear al instante Dominios Generados Algorítmicamente (DGA) utilizados por botnets, malware e infraestructura C2.

Defensa contra exfiltración de datos y túneles DNS

El perfilado de línea base volumétrico rastrea la Media Móvil Exponencial (EMA) suavizada con Alpha de los datos transferidos por cliente o por subred. Detecta ráfagas repentinas y anómalas de datos que salen de la red por el puerto 53 y envía al cliente a un agujero negro en una Penalty Box de alto rendimiento.

Enrutamiento empresarial y validación por consenso

sdproxy no solo reenvía consultas a ciegas; evalúa los upstreams dinámicamente.

• Consenso seguro: consulta todos los upstreams de un grupo simultáneamente. Inspecciona en profundidad las cargas útiles (cadenas CNAME, endpoints IP finales) y descarta activamente la conexión si CUALQUIER upstream devuelve datos que no coinciden o una NULL-IP envenenada.
• EMA más rápida: rastrea la latencia en nanosegundos de cada upstream. Utiliza un algoritmo Epsilon-Greedy para mantenerse en el resolver más rápido mientras reserva el 5% de las consultas para exploración aleatoria y descubrir rutas de red que se recuperan.
• Coalescencia SingleFlight: las consultas concurrentes idénticas que fallan en caché se coalescen sin problemas en una única ejecución saliente, eliminando los picos de Thundering Herd.

Almacena en caché de forma agresiva

¿Respondiste algo recientemente? Sírvelo desde la caché. sdproxy utiliza 32 fragmentos de memoria sin bloqueos, sembrados criptográficamente. Si un registro expira mientras sigue siendo popular, sdproxy activa una precarga en segundo plano para que tus dispositivos nunca noten un fallo de caché. Soporta completamente el servicio de datos obsoletos RFC 8767.

Conoce tu red local

Apúntalo a tus archivos de concesión DHCP y a /etc/hosts y responderá a las búsquedas de nombres locales (tu NAS, tu impresora, tu Pi) sin molestar a un resolver upstream. Funciona con dnsmasq, ISC DHCP, Kea y odhcpd.

Enruta distintos dispositivos de forma diferente

Asigna la identidad de un dispositivo a un grupo de resolvers upstream diferente o a un perfil parental.

• Identificadores: MAC exacta, enmascaramiento glob de MAC, IP / CIDR, ASN (Autonomous System Number vía IPinfo), nombre de cliente, TLS SNI y rutas HTTP DoH.
• Sinkholes instantáneos: vincula un Código de Retorno DNS explícito (RCODE: REFUSED, NXDOMAIN) directamente a una regla de enrutamiento para cuarentena instantánea del cliente.

Controles parentales - por hijo, por categoría

Configura un perfil por hijo, asigna sus dispositivos y configura:

• Horarios - Diferentes horas para días escolares vs fines de semana.
• Presupuestos de tiempo - Seguimiento acumulativo minuto a minuto. 2 horas en total, con sub-límites (1 hora de juegos, 30 minutos de redes sociales).
• Bloqueos por categoría - Cargados dinámicamente desde repositorios públicos (uBlock, hosts o listas de dominios en bruto).
• Seguimiento de estado: el seguimiento del tiempo se ejecuta mediante TTLs de latido DNS y se guarda en disco para sobrevivir a reinicios.

Panel de administración web

Interfaz opcional basada en navegador y protegida con contraseña para operaciones en vivo.

• Cambia al instante un grupo de dispositivos a ALLOW (puerta abierta de par en par), BLOCK (cortar internet), FREE (suspender límites) o LOG (modo auditoría).
• Visualiza registros de consultas en vivo y en streaming y gráficos de rendimiento de búfer circular de 24 horas.

Protege contra DNS Rebinding

Descarta cualquier respuesta upstream que contenga IPs privadas o bogon (RFC1918, loopbacks, ULAs) devolviendo NXDOMAIN para prevenir ataques de Server-Side Request Forgery (SSRF) y pivoting del navegador.

Inicio rápido

Requiere Go 1.25+. Sin CGo, sin librerías externas.

Configuración mínima

Compilar para tu router

Los flags -s -w eliminan los símbolos de depuración - ahorra un 30-40% del tamaño del binario, lo cual importa en almacenamiento flash pequeño.

Configuración

Todo vive en un único archivo YAML. El full_reference_config.yaml de este repositorio documenta cada opción en línea - ese archivo es el manual. Cópialo, elimina lo que no necesites, ajusta el resto.

Salida de registro