Proxy DNS simple et rapide avec des fonctionnalités pas si simples. Axé sur le transfert DNS routé, le filtrage et le contrôle parental.
Un proxy DNS qui vous donne un véritable contrôle sur votre réseau domestique.
J'ai passé des années comme consultant dans l'« arène » du réseau et de la sécurité « pour les grands ». La sécurité DNS était/est mon travail quotidien, mais aussi un passe-temps favori à bricoler. Parce que j'ai des enfants maintenant, et que je dois être un parent responsable, j'ai pris sur moi de filtrer le grand méchant internet pour eux. J'ai donc construit sdproxy (Simple DNS Proxy). Il apporte les protections/méthodes/précisions de niveau entreprise/grand garçon au niveau du réseau domestique (en quelque sorte).
Le proxy est écrit en Go et se compile en un binaire léger pour les routeurs bon marché. Il n'y a AUCUN abonnement cloud ni frais mensuels. Il parle toutes les variantes de DNS et inclut un contrôle d'admission adaptatif pour rester stable. C'est juste une précision légère (en quelque sorte), méchante, conçue par des Néerlandais, pour le salon. Juste vous, un exécutable et un fichier yaml.
Et rappelez-vous... C'est toujours le DNS !
Note : Le fichier full_reference_config.yaml de ce dépôt est toujours plus à jour que ce README. En cas de doute, consultez-le.
Le DNS est l'annuaire de l'internet - chaque appareil de votre réseau recherche un nom avant de se connecter où que ce soit.
sdproxy se place au milieu de tout cela, sur votre routeur, et vous laisse décider de la suite : le mettre en cache, le bloquer, le router vers un autre résolveur, appliquer des modèles de sécurité ML avancés, ou imposer des limites de temps par enfant. Pas d'abonnement cloud, pas de frais mensuels, pas de service externe qui tombe en panne.
Il est écrit en Go, se compile en un seul binaire, et est suffisamment léger pour tourner sur des routeurs domestiques bon marché (OpenWrt sur un TP-Link, GL.iNet ou NetGear, pfSense, OPNsense ou simplement une machine Linux ordinaire).
Voir KEY_ADVANTAGES.md pour les avantages clés par rapport aux alternatives.
Le bon vieux UDP/TCP (port 53), le DNS-over-TLS chiffré (DoT), le DNS-over-HTTPS (DoH), et le DNS-over-QUIC (DoQ).
sdproxy analyse nativement les en-têtes Alt-Svc et les paramètres ALPN SVCB/HTTPS pour mettre à niveau de manière transparente les flux DoH standard vers des connexions HTTP/3 (QUIC) hautes performances à la volée.Protège votre navigation contre l'inspection approfondie des paquets par le FAI en chiffrant le Server Name Indication (SNI) TLS.
_dns.resolver.arpa SVCB/HTTPS) et les points de terminaison HTTPS /.well-known/origin-svcb / /.well-known/ech.HTTPS/SVCB (et les replis L7 .well-known), extrait leurs clés ECH, et sécurise la poignée de main TLS de manière totalement autonome.Un moteur d'inférence ML de régression logistique natif, sans allocation, s'exécute sur le chemin critique. Il extrait l'entropie de Shannon, le déséquilibre voyelles/consonnes, les motifs de chiffres en fin de chaîne, et les chaînes de consonnes pour détecter et bloquer instantanément les domaines générés algorithmiquement (DGA) utilisés par les botnets, les malwares et l'infrastructure C2.
eTLD+1) dans une fenêtre temporelle configurable pour intercepter le tunneling DNS lent et discret et l'exfiltration des voleurs d'informations.sdproxy ne se contente pas de transmettre les requêtes aveuglément ; il évalue les amonts dynamiquement.
max_secure_upstreams (5 par défaut) serveurs sains d'un groupe. Inspecte en profondeur les charges utiles (chaînes CNAME, points de terminaison IP finaux) avec prise en charge des préférences fastest, ordered, et consolidate (ensemble de réponses fusionné), et abandonne ou bloque la réponse si les amonts sont en désaccord ou renvoient une IP NULL empoisonnée.Vous avez répondu à quelque chose récemment ? Servez-le depuis le cache. sdproxy utilise 32 shards mémoire à graine cryptographique avec persistance disque optionnelle à travers les redémarrages. Si un enregistrement expire alors qu'il est encore populaire, sdproxy déclenche une prélecture en arrière-plan afin que vos appareils ne remarquent jamais un échec de cache. Il prend entièrement en charge le Stale-Serving RFC 8767 et les replis de panne serve_stale_infinite.
Pointez-le vers vos fichiers de bail DHCP et /etc/hosts et il répondra aux recherches de noms locaux (votre NAS, votre imprimante, votre Pi) sans déranger un résolveur amont ni divulguer les requêtes LAN en amont. Fonctionne avec dnsmasq, ISC DHCP, Kea et odhcpd.
Associez l'identité d'un appareil à un groupe de résolveurs amont différent ou à un profil parental.
CC:XX via IPinfo), nom de client, SNI TLS (sni:), chemins HTTP DoH (path:), et ports d'écoute (port:).force-and: true (par ex., sous-réseau ET port d'écoute).rcode: REFUSED, NXDOMAIN, BLOCK, DROP) directement à une règle de routage pour une mise en quarantaine instantanée du client.Configurez un profil par enfant, assignez leurs appareils, et configurez :
group ou par device). Prend en charge ALLOW, BLOCK, FREE, LOG, UNLIMITED, et des dérogations temporaires de fenêtre UNTRIGGER.