VeilGate

VeilGate एक ओपन-सोर्स डिसेप्शन प्रॉक्सी है जो उन टीमों के लिए है जो वास्तविक उपयोगकर्ताओं के सामने नाजुक ब्लॉक नियम रखे बिना स्वचालित सुरक्षा प्रोबिंग की लागत बढ़ाना चाहती हैं।

यह एक वेब एप्लिकेशन के सामने बैठता है, प्रत्येक अनुरोध को स्कोर करता है, और तीन परिणामों में से एक चुनता है:

• Real: स्वच्छ ट्रैफ़िक को अपस्ट्रीम ऐप पर अग्रेषित करें।
• Challenge: संदिग्ध-लेकिन-अस्पष्ट क्लाइंट को ब्राउज़र प्रूफ ऑफ वर्क हल करने के लिए कहें।
• Tarpit: उच्च-विश्वास एजेंट ट्रैफ़िक को एक नियतात्मक नकली ऐप में मोड़ें।

लक्ष्य जादुई अजेयता नहीं है। लक्ष्य बेहतर अर्थशास्त्र है: मनुष्यों और सामान्य ऑटोमेशन को चलते रखें, जबकि AI-सहायता प्राप्त स्कैनर्स को विश्वसनीय डेड एंड्स पर समय, टोकन और ध्यान खर्च करने पर मजबूर करें।

यह क्या करता है

• observe, challenge, tarpit, और थ्रेशोल्ड-चालित auto मोड के साथ रिवर्स प्रॉक्सी।
• संदिग्ध उपयोगकर्ता एजेंट, स्पार्स ब्राउज़र हेडर, हनीपॉट पथ, समय नियमितता, स्कैनर पथ, SQLi/XSS/OOB मार्कर, IP/UA रोटेशन, कुकी व्यवहार, अनुरोध ग्राफ आकार, JA3/JA4 TLS फिंगरप्रिंट, HTTP/2 फिंगरप्रिंट, कैनरी रीप्ले, और ऑनलाइन ML स्कोरिंग के लिए डिटेक्शन सिग्नल।
• कुकी और X-Veilgate-Token हेडर दोनों ट्रांसपोर्ट के साथ ब्राउज़र प्रूफ-ऑफ-वर्क चैलेंज ताकि क्रॉस-ओरिजिन SPA बाद के API कॉल पर टोकन हल और पुनः संलग्न कर सकें। 401 चैलेंज प्रतिक्रिया SPA-जागरूक है: यह शीर्ष-स्तरीय नेविगेशन के लिए HTML और fetch / XHR संदर्भों के लिए JSON (हल करने के लिए इनलाइन PoW मेटाडेटा के साथ) लौटाता है।
• ऑपरेटर-जारी HMAC वेरिफायर चेन उन सर्वर-टू-सर्वर क्लाइंट के लिए जो PoW हल नहीं कर सकते (देखें docs/how-to/server-to-server-hmac.md)।
• स्थिर प्रति-क्लाइंट नकली प्रोफाइल के साथ शैडो एप्लिकेशन प्रतिक्रियाएँ।
• टारपिट प्रतिक्रियाओं के लिए प्रॉम्प्ट-इंजेक्शन और डिकॉय पेलोड इंजेक्शन।
• ईवेंट, फीचर रोलअप, ऑडिट लॉग और कैनरी के लिए SQLite स्थायित्व।
• मेट्रिक्स सुनने वाले पर Prometheus मेट्रिक्स और एक हल्का डैशबोर्ड।
• अलग veilgate-rules सामुदायिक रिपॉजिटरी द्वारा खिलाए गए हॉट-रिलोड करने योग्य YAML नियम फ़ाइलें।

त्वरित प्रारंभ

विकल्प 1 — इंस्टॉल स्क्रिप्ट (अनुशंसित)

बाइनरी डाउनलोड करता है, systemd सेवा स्थापित करता है, सामुदायिक नियम स्थापित करता है, और observe मोड में एक स्टार्टर कॉन्फ़िग लिखता है।

# वन-लाइनर
curl -sSL https://veilgate.dev/install.sh | sudo bash -s -- --upstream http://localhost:3000

# या पहले डाउनलोड करें, फिर चलाएँ
curl -sSL https://veilgate.dev/install.sh -o install.sh
sudo ./install.sh --upstream http://localhost:3000

फ़्लैग्स:

पैकेज्ड कॉन्फ़िग rules_dir: "~/.veilgate/rules" का उपयोग करता है। systemd के तहत, VeilGate veilgate उपयोगकर्ता के रूप में चलता है जिसका होम /var/lib/veilgate है, इसलिए यह /var/lib/veilgate/.veilgate/rules पर हल होता है।

यदि नई स्थापना पर --secret छोड़ा जाता है, तो इंस्टॉलर इंटरैक्टिव टर्मिनलों पर प्रॉम्प्ट करता है और अन्यथा एक यादृच्छिक गुप्त उत्पन्न करता है। यदि सेवा उपयोगकर्ता मौजूद नहीं है, तो इंस्टॉलर इंटरैक्टिव टर्मिनलों पर बनाने से पहले पूछता है और गैर-इंटरैक्टिव इंस्टॉल के लिए निर्माण के लिए डिफ़ॉल्ट होता है।

स्थापना के बाद:

systemctl status veilgate
journalctl -u veilgate -f

विकल्प 2 — Docker

docker run -d --name veilgate \
  --network host \
  -v /etc/veilgate/veilgate.yaml:/etc/veilgate/veilgate.yaml:ro \
  -v ~/.veilgate/rules:/home/nonroot/.veilgate/rules \
  -e VEILGATE_SECRET=$(openssl rand -hex 32) \
  ghcr.io/c0oki3s/veilgate:latest -config /etc/veilgate/veilgate.yaml

विकल्प 3 — स्रोत से निर्माण

पूर्वापेक्षा: Go 1.25.10 या नया।

git clone https://github.com/C0oki3s/veilgate.git
cd veilgate
make build
./veilgate -config configs/veilgate.yaml

डिफ़ॉल्ट रूप से VeilGate :8080 पर सुनता है, http://localhost:3000 पर प्रॉक्सी करता है, और :9090 पर मेट्रिक्स दिखाता है।

डिफ़ॉल्ट कॉन्फ़िग observe मोड में शुरू होता है — challenge या tarpit सक्षम करने से पहले बेसलाइन सामान्य ट्रैफ़िक।

ऑपरेटिंग मोड

अनुशंसित रोलआउट:

1. कम से कम कई दिनों के लिए observe चलाएँ।
2. झूठी सकारात्मकता के लिए मेट्रिक्स और ईवेंट नमूनों की समीक्षा करें।
3. अस्पष्ट ट्रैफ़िक के लिए challenge सक्षम करें।
4. एक बार आपके थ्रेशोल्ड आपके वातावरण से मेल खाते हैं तो tarpit सक्षम करें।

कॉन्फ़िगरेशन

configs/veilgate.yaml से शुरू करें:

listen: ":8080"
upstream: "http://localhost:3000"
mode: "observe"
rules_dir: "~/.veilgate/rules"

detector:
  score_challenge_threshold: 40
  score_tarpit_threshold: 70
  trusted_ips: []
  trusted_proxies: []

metrics:
  listen: ":9090"

पूर्ण संदर्भ: Configuration reference।

नियम

VeilGate कोई एम्बेडेड नियम नहीं भेजता। बाइनरी स्टार्टअप पर rules_dir पढ़ता है और परिवर्तनों को हॉट-रिलोड करता है; यदि निर्देशिका खाली है तो यह शून्य डिटेक्शन सिग्नल के साथ शुरू होता है। नियम एक स्थान से आते हैं:

• veilgate-rules — सामुदायिक-अनुरक्षित नियम पैक। install.sh स्क्रिप्ट पहली स्थापना पर इसे स्वचालित रूप से क्लोन करती है। आप इसे बिल्ट-इन update-rules उपकमांड के साथ मैन्युअल रूप से भी अपडेट कर सकते हैं — कोई रीबिल्ड, कोई रीस्टार्ट नहीं:

# नवीनतम पैक को ~/.veilgate/rules (डिफ़ॉल्ट स्थान) में स्थापित करें
veilgate update-rules

# या एक रिलीज़ टैग पर पिन करें
veilgate update-rules --dir ~/.veilgate/rules --version v1.2.0

# उपलब्ध रिलीज़ सूचीबद्ध करें
veilgate update-rules --list

स्थापना के बाद, VeilGate का fsnotify वॉचर ~500 ms के भीतर नई फ़ाइलों को उठाता है। प्रत्येक मौजूदा फ़ाइल को अधिलेखित होने से पहले <name>.bak के रूप में बैकअप किया जाता है (छोड़ने के लिए --no-backup पास करें)। स्थापित संस्करण <rules_dir>/.rules-version.json में दर्ज किया जाता है ताकि CI और ऑपरेटर git मेटाडेटा से परामर्श किए बिना जाँच सकें कि क्या चल रहा है।

दोनों निर्देशिकाओं को सुरक्षा नीति के रूप में मानें — उत्पादन में तैनात करने से पहले परिवर्तनों की समीक्षा करें, विशेष रूप से detector.yaml और ip_reputation.yaml की। पूर्ण गाइड और रोलबैक प्रक्रिया: docs/how-to/install-community-rules.md।

दस्तावेज़ीकरण

• Getting Started: स्थानीय रन और पहली जाँच।
• Configuration Reference: veilgate.yaml और नियम फ़ाइलें।
• Deployment: Linux/systemd स्थापना।
• Architecture: अनुरोध प्रवाह और उपप्रणाली डिज़ाइन।
• Operations: मेट्रिक्स, डैशबोर्ड, अलर्ट, नियमित जाँच।
• Model Card: ML सिग्नल व्यवहार और सीमाएँ।
• Reference Index: पूर्ण लुकअप-उन्मुख संदर्भ पृष्ठ।
• Community Rules: veilgate update-rules के माध्यम से सामुदायिक-अनुरक्षित नियम सेट स्थापित और अपडेट करें।
• Threat Model: VeilGate क्या करता है और क्या नहीं।

सुरक्षा नोट्स

• VeilGate को केवल उन सिस्टम के सामने तैनात करें जिनके आप मालिक हैं या संचालित करते हैं।
• मेट्रिक्स सुनने को सीधे सार्वजनिक इंटरनेट पर उजागर न करें।
• challenge या tarpit मोड का उपयोग करने से पहले VEILGATE_SECRET या challenge.secret सेट करें। VeilGate डिफ़ॉल्ट चैलेंज सीक्रेट के साथ observe मोड के बाहर शुरू करने से इनकार करता है।
• rules/ के तहत फ़ाइलों को सुरक्षा नीति के रूप में मानें। उनकी समीक्षा करें और संस्करण बनाएँ।
• रूढ़िवादी थ्रेशोल्ड के साथ शुरू करें और देखे गए ट्रैफ़िक से ट्यून करें।

विकास

make test
make fmt
make build

शीर्ष-स्तरीय tests फ़ोल्डर में ब्लैक-बॉक्स एकीकरण परीक्षण हैं। पैकेज-प्राइवेट यूनिट परीक्षण उनके पैकेजों के बगल में रहते हैं क्योंकि वे अनएक्सपोर्टेड डिटेक्टर, TLS फिंगरप्रिंट, टारपिट और ML सहायकों को सत्यापित करते हैं।

लाइसेंस

Apache-2.0. देखें LICENSE।