NetworkSandboxEngine — Un sandbox de red determinista para probar reglas de nftables. Utiliza espacios de nombres de red de Linux efímeros (netns) y Scapy para validar la lógica del firewall de forma segura. | Kitploit

Garantía	Mecanismo
El monitor estaba conectado antes del primer paquete de prueba	Se inyecta un canario de preparación y se reinyecta hasta que se observe su rastro en el kernel. Sin observación, no hay ejecución.
El monitor seguía conectado después del último	Se ejecuta un canario de vitalidad después de la inyección. Si se pierde, el flujo de veredictos se declara truncado.
El analizador entendió lo que dijo el kernel	Las líneas de rastreo que ningún patrón coincide se cuentan, y cualquier recuento superior a cero es un error en lugar de un registro de depuración.
El monitor no murió silenciosamente	El bucle de lectura registra por qué terminó — parada limpia, EOF inesperado, tiempo de espera o fallo — y solo una parada limpia es aceptable.
Un veredicto ausente no es un aprobado	El ejecutor de la CLI falla cuando el número de veredictos observados difiere del número esperado, en cualquier dirección.

import asyncio
from nse.core.netns_controller import NetnsController
from nse.core.pipeline import run_test_pipeline
from nse.models.test_request import TestRequest, PacketSpec

rules = """
table ip filter {
    chain input {
        type filter hook input priority 0; policy drop;
        tcp dport 80 accept
    }
}
"""

request = TestRequest(
    rules=rules,
    packets=[
        PacketSpec(protocol="tcp", src_ip="10.0.0.1", dst_ip="10.0.0.2", dst_port=80),
        PacketSpec(protocol="tcp", src_ip="10.0.0.1", dst_ip="10.0.0.2", dst_port=22),
    ],
)


async def main():
    controller = NetnsController()
    events = await run_test_pipeline(request=request, controller=controller)
    for evt in events:
        if evt.verdict:
            print(f"[{evt.chain}] Verdict: {evt.verdict}")


asyncio.run(main())

tests:
  - name: "Allow HTTP Port 80, Drop SSH Port 22"
    topology: simple
    rules: |
      table ip filter {
        chain input {
          type filter hook input priority 0; policy drop;
          tcp dport 80 accept
        }
      }
    packets:
      - protocol: tcp
        src_ip: 10.0.0.1
        dst_ip: 10.0.0.2
        dst_port: 80
        expected_verdict: ACCEPT
      - protocol: tcp
        src_ip: 10.0.0.1
        dst_ip: 10.0.0.2
        dst_port: 22
        expected_verdict: DROP

graph TD
    subgraph Step1["1. Test Specification"]
        Req["<b>TestRequest</b><br/>ruleset + packets + topology"]
    end

    subgraph Step2["2. Ephemeral Netns Sandbox"]
        direction TB
        Netns["<b>Netns Setup</b><br/>nse_&lt;id&gt; & veth links"]
        RuleEng["<b>Rule Engine</b><br/>validate & load nftables"]
        Inject["<b>Scapy Injector</b><br/>L2/L3 packet injection"]
        NFT["<b>Kernel nftables</b><br/>meta nftrace set 1"]

        Netns --> RuleEng
        RuleEng --> Inject
        Inject --> NFT
    end

    subgraph Step3["3. Trace Evaluation & Oracle"]
        direction TB
        Harvester["<b>Trace Harvester</b><br/>nft monitor trace stream"]
        Oracle["<b>Deterministic Oracle</b><br/>TraceEvents & verdicts"]

        Harvester --> Oracle
    end

    Step1 --> Step2
    Step2 --> Step3

NetworkSandboxEngine/
├── nse/                        # Core PyPI package (network-sandbox-engine)
│   ├── core/                   # Kernel primitives, pipeline, and naming rules
│   ├── models/                 # Pydantic models (TestRequest, PacketSpec, TraceEvent)
│   └── cli/                    # Headless YAML runner entrypoint
├── docs/                       # Architecture specs and MkDocs web documentation
├── tests/                      # Unit, golden file, and privileged e2e tests
│   └── fixtures/nft_trace/     # Golden `nft monitor trace` corpus
├── pyproject.toml              # Build backend configuration
└── Makefile                    # Local automation and CI workflow

NetworkSandboxEngine

Más Populares

¿Por qué NSE?

Requiere root

El contrato del oráculo

Características

Requisitos

Instalación

1. Paquete PyPI (recomendado)

2. Instalación manual desde el código fuente

Inicio rápido

1. Biblioteca Python sin interfaz gráfica

2. Ejecutor de suites de pruebas YAML (CLI)

3. En un contenedor

Cómo funciona

Estructura del proyecto

Publicación de versiones

Documentación

Pruebas y CI local

Licencia