sdproxy

Proxy DNS semplice e veloce con funzionalità non così semplici. Focalizzato sull'inoltro DNS instradato, il filtraggio e il controllo parentale.

Cosa fa

Parla ogni variante di DNS e si auto-aggiorna

Il buon vecchio UDP/TCP (porta 53), DNS-over-TLS crittografato (DoT), DNS-over-HTTPS (DoH) e DNS-over-QUIC (DoQ).

• Aggiornamenti dinamici DoH3: sdproxy analizza nativamente gli header Alt-Svc e aggiorna senza soluzione di continuità i flussi DoH standard a connessioni HTTP/3 (QUIC) ad alte prestazioni al volo.

Encrypted Client Hello (ECH) e auto-discovery DDR

Protegge la tua navigazione dall'ispezione approfondita dei pacchetti da parte dell'ISP crittografando il Server Name Indication (SNI) del TLS.

• ECH in ingresso: sdproxy agisce come server ECH completo, decrittografando i client hello e trasmettendo nativamente le proprie chiavi alla tua rete locale tramite DDR (Discovery of Designated Resolvers).
• Auto-discovery ECH in uscita: quando comunica con i provider upstream, sdproxy interroga attivamente i loro record HTTPS/SVCB, estrae le loro chiavi ECH e protegge completamente l'handshake TLS in modo autonomo.

Rilevamento DGA con Machine Learning

Un motore di inferenza ML nativo a regressione logistica a zero allocazioni gira sul percorso critico. Estrae l'entropia di Shannon, lo sbilanciamento vocali/consonanti e le catene di n-gram per rilevare e bloccare istantaneamente i domini generati algoritmicamente (DGA) usati da botnet, malware e infrastrutture C2.

Difesa da esfiltrazione dati e DNS tunneling

Il profiling volumetrico di base traccia la media mobile esponenziale (EMA) con smoothing Alpha dei dati trasferiti per client o per subnet. Rileva improvvise e anomale raffiche di dati in uscita dalla rete sulla porta 53 e mette il client in blackhole in una Penalty Box ad alte prestazioni.

Routing enterprise e validazione a consenso

sdproxy non inoltra le query ciecamente; valuta dinamicamente gli upstream.

• Consenso sicuro: interroga simultaneamente tutti gli upstream di un gruppo. Ispeziona a fondo i payload (catene CNAME, endpoint IP finali) e interrompe attivamente la connessione se QUALSIASI upstream restituisce dati non corrispondenti o un NULL-IP avvelenato.
• EMA più veloce: traccia la latenza in nanosecondi di ogni upstream. Usa un algoritmo Epsilon-Greedy per restare sul resolver più veloce riservando il 5% delle query all'esplorazione casuale per scoprire percorsi di rete che si riprendono.
• Coalescing SingleFlight: query concorrenti identiche che mancano la cache vengono fuse senza soluzione di continuità in un'unica esecuzione in uscita, eliminando i picchi di Thundering Herd.

Cache aggressiva

Hai risposto a qualcosa di recente? Servilo dalla cache. sdproxy utilizza 32 shard di memoria lock-free con seed crittografico. Se un record scade mentre è ancora popolare, sdproxy attiva un prefetch in background così i tuoi dispositivi non notano mai un cache miss. Supporta pienamente lo Stale-Serving RFC 8767.

Conosce la tua rete locale

Puntalo ai tuoi file di lease DHCP e a /etc/hosts e risponderà alle ricerche di nomi locali (il tuo NAS, la tua stampante, il tuo Pi) senza disturbare un resolver upstream. Funziona con dnsmasq, ISC DHCP, Kea e odhcpd.

Instrada dispositivi diversi in modo diverso

Mappa l'identità di un dispositivo a un diverso gruppo di resolver upstream o profilo parentale.

• Identificatori: MAC esatto, mascheramento glob MAC, IP / CIDR, ASN (Autonomous System Number via IPinfo), nome client, TLS SNI e percorsi HTTP DoH.
• Sinkhole istantanei: associa un codice di ritorno DNS esplicito (RCODE: REFUSED, NXDOMAIN) direttamente a una regola di routing per la quarantena istantanea del client.

Controlli parentali - per figlio, per categoria

Crea un profilo per ogni figlio, assegna i loro dispositivi e configura:

• Orari - Orari diversi per i giorni di scuola rispetto ai weekend.
• Budget di tempo - Tracciamento accumulativo minuto per minuto. 2 ore totali, con sotto-limiti (1 ora giochi, 30 minuti social media).
• Blocchi per categoria - Caricati dinamicamente da repo pubblici (uBlock, hosts o liste di domini grezze).
• Tracciamento dello stato: il tracciamento del tempo avviene tramite TTL di heartbeat DNS e snapshot su disco per sopravvivere ai riavvii.

Pannello di amministrazione web

UI opzionale, protetta da password, basata su browser per operazioni in tempo reale.

• Commuta istantaneamente un gruppo di dispositivi su ALLOW (cancello spalancato), BLOCK (taglia internet), FREE (sospendi i limiti) o LOG (modalità audit).
• Visualizza log delle query in streaming live e grafici delle prestazioni a Ring-Buffer di 24 ore.

Protegge dal DNS Rebinding

Scarta qualsiasi risposta upstream contenente IP privati o bogon (RFC1918, loopback, ULA) restituendo NXDOMAIN per prevenire attacchi Server-Side Request Forgery (SSRF) e pivoting del browser.

Avvio rapido

Richiede Go 1.25+. Nessun CGo, nessuna libreria esterna.

Configurazione minima

Compila per il tuo router

I flag -s -w rimuovono i simboli di debug - risparmiano il 30-40% della dimensione del binario, cosa che conta su piccole memorie flash.

Configurazione

Tutto vive in un unico file YAML. Il file full_reference_config.yaml in questo repo documenta ogni singola opzione inline - quel file è il manuale. Copialo, elimina ciò che non ti serve, regola il resto.

Output dei log