AVIS : La licence a changé par rapport à la version CMD (GPLv3). La version 'FULL' (branche actuelle) est sous licence AGPLv3.

Aperçu

                       ------------------------------------------------------
                       | (outbound)                                         |
                       |                                                    V
                       |                                 --------------> [dns proxy (*1)] --------
                       |                                 | (outbound)                            |
                       |          (bi-directional)       |                                       V
TCP/IP stack ----> [cfirewall] -------------------> [ip proxy] ------------------------> ((*packet verdict*)) ----> TCP/IP stack
                      |  |                               |                                       ^    ^
                      |  |                               | (inbound)                             |    |
                      |  |                               --------------> [ids/ips (*2)] ----------    |
                      |  |                                                  ^                         |
                      |  | (inbound)                                        |                         |
                      |  ----------------------------------------------------                         |
                      |                                                                               |
                      ---------------------------------------------------------------------------------

Fonctionnalités incluses

NOUVEAU : sqlite3 est désormais la base de données par défaut utilisée (pour simplifier les déploiements). postgresql est toujours présent en arrière-plan et pourra être activé lors du déploiement du système dans une future version.

NOUVEAU : L'utilitaire de déploiement automatique (autoloader) est maintenant opérationnel. Il doit être utilisé pour déployer le système sur toute distribution compatible. Voir la liste des distributions compatibles pour plus de détails.

NOUVEAU : règles de pare-feu complètes basées sur les zones (source et destination) et profils de sécurité par règle.

• Gestionnaire de paquets personnalisé

  • implémenté en C
  • inspection de paquets avec état ou sans état
  • décisions complexes sur les paquets (différer l'action du paquet aux modules de sécurité)

• Proxy DNS (sortant ou entre réseaux LAN)

  • blocage par catégorie (général, TLD, correspondance de sous-chaîne)
  • liste blanche/liste noire ajoutée par l'utilisateur ou création de catégorie générale personnalisée

• Serveur DNS (récemment détaché du proxy DNS, mais partage les ressources du processus)

  • conversion native DNS over TLS avec repli UDP optionnel
  • serveur DNS local (autoritaire via manipulation de paquets)
  • basculement automatique du logiciel
  • 2 niveaux de mise en cache des enregistrements

• Proxy IP (transparent) bidirectionnel

  • filtrage des hôtes basé sur la réputation (détection implémentée en C)
  • filtre géolocalisation (blocage par pays, détection implémentée en C)

• IPS/IDS (entrant)

  • détection/prévention des dénis de service
  • détection/prévention des scans de ports

• Serveur DHCP léger (logiciel natif)

  • réservations IP
  • contrôle au niveau de l'interface (activer/désactiver)
  • intégration des alertes de sécurité

• Services généraux

  • gestion des journaux
  • gestion de la base de données
  • client syslog (UDP, TCP, TLS) IMPORTANT : actuellement inutilisable en raison de nombreux changements d'API internes. Ce service ne sera pas activé par défaut.

• Fonctionnalités supplémentaires

  • IPv6 désactivé
  • Prévention du contournement du proxy DNS
    • DNS over HTTPs restreint
    • DNS over TCP restreint
    • DNS over TLS restreint
  • Interface Web moderne pour l'administration
  • Utilitaire shell personnalisé pour la maintenance au niveau système
    • inclut un système de mise à jour intégré (dnxfirewall) pour des mises à jour en 1 clic

Pour déployer (en utilisant l'autoloader)

1. sélectionner la distribution Linux dans la liste des distributions compatibles (voir ci-dessous)

2. installer Linux sur du matériel physique ou une machine virtuelle

   2a. (3) interfaces sont requises (WAN, LAN, DMZ)

   2b. créer l'utilisateur "dnx" lors de l'installation du système d'exploitation ou une fois celle-ci terminée

   2c. installer et définir python3.8 par défaut (si applicable)

3. mettre à niveau et mettre à jour le système

4. installer git

5. cloner https://github.com/dowrighttv/dnxfirewall.git dans le répertoire personnel de l'utilisateur "dnx" (/home/dnx)

6. se connecter en tant qu'utilisateur "dnx" et exécuter la commande : sudo python3 dnxfirewall/dnx_run.py cli autoloader

7. suivre les invites pour associer les interfaces physiques aux zones intégrées de dnxfirewall

8. une fois l'utilitaire terminé, redémarrer le système et naviguer vers l'URL spécifiée

Distributions Linux compatibles avec l'autoloader dnxfirewall

• Distributions basées sur Debian
  • Noyau Linux >= 2.6.31
  • Python 3.8+
  • netplan (gestionnaire d'interface/réseau Ubuntu)

Contributeurs externes

Sources de code externes

https://www.ip2location.com/free/visitor-blocker | ensembles de données de filtrage géolocalisation (attributions d'adresses IP par pays)

https://gitlab.com/ZeroDot1/CoinBlockerLists | ensemble de données d'hôtes de cryptomineurs

psql uniquement : https://github.com/tlocke/pg8000 | adaptateur PostgreSQL pur Python