AVVISO: La licenza è cambiata rispetto alla versione CMD (GPLv3). La versione 'FULL' (branch corrente) è concessa in licenza AGPLv3.

Panoramica

DNXFIREWALL™ è una raccolta ottimizzata/ad alte prestazioni di applicazioni e servizi per convertire un sistema Linux standard in un firewall di nuova generazione basato su zone. I moduli di sicurezza primari hanno controllo DIRETTO/INLINE su tutte le connessioni, flussi e messaggi che attraversano il sistema.

                       ------------------------------------------------------
                       | (uscita)                                           |
                       |                                                    V
                       |                                 --------------> [proxy dns (*1)] --------
                       |                                 | (uscita)                            |
                       |          (bidirezionale)        |                                       V
Pila TCP/IP ----> [cfirewall] -------------------> [proxy IP] ------------------------> ((*verdetto pacchetto*)) ----> Pila TCP/IP
                      |  |                               |                                       ^    ^
                      |  |                               | (ingresso)                            |    |
                      |  |                               --------------> [ids/ips (*2)] ----------    |
                      |  |                                                  ^                         |
                      |  | (ingresso)                                        |                         |
                      |  ----------------------------------------------------                         |
                      |                                                                               |
                      ---------------------------------------------------------------------------------

(*1) il proxy dns è specificamente progettato per ispezionare il payload DNS in transito tra reti interne o dalla LAN a Internet.
(*2) l'ids/ips è specificamente progettato (almeno per ora) per ispezionare solo il traffico da Internet verso le reti LAN.
- questa decisione si basa sul fatto che il 99,99% (generalizzazione) delle minacce in questo spazio proviene da Internet.

Un video di basso livello "architettura, progettazione del sistema" verrà creato a un certo punto per mostrare come ciò sia possibile con puro Python.

Funzionalità incluse

NUOVO: sqlite3 è ora il database predefinito in uso (per semplificare le distribuzioni). postgresql è ancora presente nel backend e potrà essere abilitato durante la distribuzione del sistema in una versione futura.

NUOVO: L'utility di distribuzione automatica (autoloader) è ora attiva. Dovrebbe essere utilizzata per distribuire il sistema su qualsiasi distro compatibile. Consultare l'elenco delle distro compatibili per maggiori dettagli.

NUOVO: Regole firewall complete basate su zone (sorgente e destinazione) e profili di sicurezza per regola.

Gestore pacchetti personalizzato
- implementato in C
- ispezione pacchetti stateful o stateless
- decisioni complesse sui pacchetti (deferire l'azione del pacchetto ai moduli di sicurezza)
Proxy DNS (uscita o reti LAN incrociate)
- blocco basato su categorie (generale, TLD, corrispondenza di sottostringhe)
- whitelist/blacklist aggiunte dall'utente o creazione di categorie generali personalizzate
Server DNS (recentemente separato dal proxy DNS, ma condivide le risorse del processo)
- conversione nativa DNS su TLS con fallback UDP opzionale
- server DNS locale (autoritativo tramite manipolazione dei pacchetti)
- failover automatico del software
- 2 livelli di caching dei record
Proxy IP (trasparente) bidirezionale
- filtraggio host basato su reputazione (rilevamento implementato in C)
- filtro geolocalizzazione (blocco per paese, rilevamento implementato in C)
IPS/IDS (ingresso)
- rilevamento/prevenzione denial of service
- rilevamento/prevenzione portscan
Server DHCP leggero (software nativo)
- prenotazioni IP
- controllo a livello di interfaccia (abilita/disabilita)
- integrazione allarmi di sicurezza
Servizi generali
- gestione dei log
- gestione del database
- client syslog (UDP, TCP, TLS) IMPORTANTE: attualmente in stato inutilizzabile a causa di molte modifiche interne alle API che rompono la compatibilità. questo servizio non sarà abilitato per impostazione predefinita.
Funzionalità aggiuntive
- IPv6 disabilitato
- prevenzione bypass proxy DNS
  - DNS su HTTPs limitato
  - DNS su TCP limitato
  - DNS su TLS limitato
- Webui moderna per l'amministrazione
- utility shell personalizzata per la manutenzione a livello di sistema
  - include aggiornatore di sistema (dnxfirewall) integrato per aggiornamenti con 1 clic

Per distribuire (utilizzando autoloader)

selezionare la distribuzione Linux dall'elenco delle distro compatibili (vedi sotto)
installare Linux su hardware fisico o una VM

2a. sono richieste (3) interfacce (WAN, LAN, DMZ)

2b. creare utente "dnx" durante l'installazione del SO o una volta completata

2c. installare e impostare python3.8 come predefinito (se applicabile)
aggiornare il sistema
installare git
clonare https://github.com/dowrighttv/dnxfirewall.git nella home directory dell'utente "dnx" (/home/dnx)
accedere come utente "dnx" ed eseguire il comando: sudo python3 dnxfirewall/dnx_run.py cli autoloader
seguire le istruzioni per associare le interfacce fisiche alle zone integrate di dnxfirewall
una volta completata l'utility, riavviare il sistema e navigare all'URL specificato

Distribuzioni Linux compatibili con dnxfirewall autoloader

Distro basate su Debian
- Kernel Linux >= 2.6.31
- Python 3.8+
- netplan (gestore interfacce/rete Ubuntu)

Contributori esterni

afallenhope - progettazione web, UX e template -> https://github.com/afallenhope

Codici sorgente esterni

https://www.ip2location.com/free/visitor-blocker | dataset filtraggio geolocalizzazione (assegnazioni indirizzi IP per paese)

https://gitlab.com/ZeroDot1/CoinBlockerLists | dataset host cryptominer

solo psql: https://github.com/tlocke/pg8000 | adattatore PostgreSQL puro Python

dnxfirewall

Più Popolari