Proxy DNS semplice e veloce con funzionalità non così semplici. Focalizzato sull'inoltro DNS instradato, il filtraggio e il controllo parentale.
Un proxy DNS che ti dà il controllo reale sulla tua rete domestica.
Ho passato anni come consulente nell'"arena" del networking e della sicurezza "dei grandi". La sicurezza DNS era/è il mio lavoro quotidiano, ma anche un hobby preferito con cui armeggiare. Dato che ora ho dei figli e devo essere un genitore responsabile, mi sono preso l'impegno di filtrare per loro il grande e cattivo internet. Così ho costruito sdproxy (Simple DNS Proxy). Porta protezioni/metodi/precisione di livello enterprise/big-boy al livello della rete domestica (più o meno).
Il proxy è scritto in Go e si compila in un binario leggero per router economici. NON ci sono abbonamenti cloud o canoni mensili. Parla ogni variante di DNS e include un controllo di ammissione adattivo per rimanere stabile. È semplicemente una precisione snella (più o meno), cattiva, ingegnerizzata all'olandese per il salotto. Solo tu, un eseguibile e un file yaml.
E ricorda... È sempre il DNS!
Nota: Il file full_reference_config.yaml in questo repository è sempre più aggiornato di questo README. In caso di dubbio, controlla lì.
Il DNS è l'elenco telefonico di internet - ogni dispositivo sulla tua rete cerca un nome prima di connettersi ovunque.
sdproxy si trova nel mezzo di tutto ciò, sul tuo router, e ti permette di decidere cosa succede dopo: metterlo in cache, bloccarlo, instradarlo verso un resolver diverso, applicare modelli di sicurezza ML avanzati o imporre limiti di tempo per ogni figlio. Nessun abbonamento cloud, nessun canone mensile, nessun servizio esterno che va giù.
È scritto in Go, si compila in un singolo binario ed è abbastanza leggero da girare su router domestici economici (OpenWrt su un TP-Link, GL.iNet o NetGear, pfSense, OPNsense o semplicemente una normale macchina Linux).
Vedi KEY_ADVANTAGES.md per i vantaggi chiave rispetto alle alternative.
Il buon vecchio UDP/TCP (porta 53), DNS-over-TLS crittografato (DoT), DNS-over-HTTPS (DoH) e DNS-over-QUIC (DoQ).
sdproxy analizza nativamente gli header Alt-Svc e i parametri ALPN SVCB/HTTPS per aggiornare senza soluzione di continuità i flussi DoH standard a connessioni HTTP/3 (QUIC) ad alte prestazioni al volo.Protegge la tua navigazione dall'ispezione approfondita dei pacchetti da parte dell'ISP crittografando il Server Name Indication (SNI) del TLS.
_dns.resolver.arpa SVCB/HTTPS) e gli endpoint HTTPS /.well-known/origin-svcb / /.well-known/ech.HTTPS/SVCB (e i fallback L7 .well-known), estrae le loro chiavi ECH e protegge l'handshake TLS in modo completamente autonomo.Un motore di inferenza ML nativo a regressione logistica a zero allocazioni gira sul percorso critico. Estrae l'entropia di Shannon, lo sbilanciamento vocali/consonanti, i pattern di cifre finali e le catene di consonanti per rilevare e bloccare istantaneamente i domini generati algoritmicamente (DGA) usati da botnet, malware e infrastrutture C2.
eTLD+1) entro una finestra temporale configurabile per intercettare il tunneling DNS slow-and-low e l'esfiltrazione degli info-stealer.sdproxy non inoltra semplicemente le query alla cieca; valuta dinamicamente gli upstream.
max_secure_upstreams (default 5) server sani in un gruppo. Ispeziona in profondità i payload (catene CNAME, endpoint IP finali) con supporto per le preferenze fastest, ordered e consolidate (set di risposte unito), e scarta o blocca la risposta se gli upstream sono in disaccordo o restituiscono un NULL-IP avvelenato.Hai risposto a qualcosa di recente? Servilo dalla cache. sdproxy utilizza 32 shard di memoria con seed crittografico e persistenza opzionale su disco tra i riavvii. Se un record scade mentre è ancora popolare, sdproxy attiva un prefetch in background così i tuoi dispositivi non notano mai un cache miss. Supporta pienamente il Stale-Serving RFC 8767 e i fallback per interruzioni serve_stale_infinite.
Puntalo ai tuoi file di lease DHCP e a /etc/hosts e risponderà alle ricerche di nomi locali (il tuo NAS, la tua stampante, il tuo Pi) senza disturbare un resolver upstream o far trapelare query LAN verso l'upstream. Funziona con dnsmasq, ISC DHCP, Kea e odhcpd.
Mappa l'identità di un dispositivo a un diverso gruppo di resolver upstream o profilo parentale.
CC:XX via IPinfo), Client-name, TLS SNI (sni:), percorsi HTTP DoH (path:) e porte del listener (port:).force-and: true (es. Subnet AND Listener Port).rcode: REFUSED, NXDOMAIN, BLOCK, DROP) direttamente a una regola di routing per la quarantena istantanea del client.Configura un profilo per ogni figlio, assegna i loro dispositivi e configura:
group o per device). Supporta ALLOW, BLOCK, FREE, LOG, UNLIMITED e override temporanei della finestra UNTRIGGER.