• (*1) el proxy DNS está diseñado específicamente para inspeccionar la carga útil de DNS que va entre redes internas o desde la LAN a Internet.

• (*2) el IDS/IPS está diseñado específicamente (al menos por ahora) para inspeccionar solo el tráfico de Internet a las redes LAN.

  • esta decisión se basa en el hecho de que el 99.99% (generalización) de las amenazas en este espacio se originan desde Internet.

Características incluidas

NUEVO: sqlite3 es ahora la base de datos predeterminada (para simplificar las implementaciones). postgresql aún está presente en el backend y se podrá habilitar durante la implementación del sistema en una versión futura.

NUEVO: La utilidad de implementación automática (autoloader) ya está activa. Esto se debe usar para implementar el sistema en cualquier distribución compatible. Consulte la lista de distribuciones compatibles para más detalles.

NUEVO: reglas de firewall basadas en zonas completas (origen y destino) y perfiles de seguridad por regla.

• Manejador de paquetes personalizado

  • implementado en C
  • inspección de paquetes con estado o sin estado
  • decisiones complejas de paquetes (diferir la acción del paquete a los módulos de seguridad)

• Proxy DNS (saliente o entre redes LAN)

  • bloqueo basado en categorías (general, TLD, coincidencia de subcadenas)
  • lista blanca/negra agregada por el usuario o creación de categorías generales personalizadas

• Servidor DNS (recientemente separado del proxy DNS, pero comparte recursos del proceso)

  • conversión nativa de DNS sobre TLS con retroceso opcional a UDP
  • servidor DNS local (autoritativo mediante manipulación de paquetes)
  • conmutación por error automática de software
  • 2 niveles de almacenamiento en caché de registros

• Proxy IP (transparente) bidireccional

  • filtrado de hosts basado en reputación (detección implementada en C)
  • filtro geográfico (bloqueo por país, detección implementada en C)

• IPS/IDS (entrante)

  • detección/prevención de denegación de servicio
  • detección/prevención de escaneo de puertos

• Servidor DHCP ligero (software nativo)

  • reservas de IP
  • control a nivel de interfaz (habilitar/deshabilitar)
  • integración de alertas de seguridad

• Servicios generales

  • manejo de registros
  • gestión de bases de datos
  • cliente syslog (UDP, TCP, TLS) IMPORTANTE: actualmente en estado inutilizable debido a muchos cambios internos en la API. Este servicio no estará habilitado por defecto.

• Características adicionales

  • IPv6 deshabilitado
  • Prevención de omisión del proxy DNS
    • DNS sobre HTTP restringido
    • DNS sobre TCP restringido
    • DNS sobre TLS restringido
  • Interfaz web moderna para administración
  • Utilidad de shell personalizada para mantenimiento a nivel del sistema
    • incluye un actualizador del sistema (dnxfirewall) integrado para actualizaciones con 1 clic

Para implementar (usando autoloader)

1. Seleccione una distribución Linux de la lista de distribuciones compatibles (ver más abajo)

2. Instale Linux en hardware físico o una máquina virtual

   2a. Se requieren (3) interfaces (WAN, LAN, DMZ)

   2b. Cree el usuario "dnx" durante la instalación del SO o una vez completada

   2c. Instale y haga de python3.8 el predeterminado (si corresponde)

3. Actualice y actualice el sistema

4. Instale git

5. Clone https://github.com/dowrighttv/dnxfirewall.git en el directorio de inicio del usuario "dnx" (/home/dnx)

6. Inicie sesión como usuario "dnx" y ejecute el comando: sudo python3 dnxfirewall/dnx_run.py cli autoloader

7. Siga las instrucciones para asociar las interfaces físicas con las zonas integradas de dnxfirewall

8. Una vez que la utilidad haya terminado, reinicie el sistema y navegue a la URL especificada

Distribuciones Linux compatibles con dnxfirewall autoloader

• Distribuciones basadas en Debian
  • Kernel de Linux >= 2.6.31
  • Python 3.8+
  • netplan (administrador de interfaces/red de Ubuntu)

Colaboradores externos

Fuentes de código externas

https://www.ip2location.com/free/visitor-blocker | conjuntos de datos de filtrado geográfico (asignaciones de direcciones IP por país)

https://gitlab.com/ZeroDot1/CoinBlockerLists | conjunto de datos de hosts de criptomineros

solo psql: https://github.com/tlocke/pg8000 | adaptador PostgreSQL puro en Python