NetworkSandboxEngine — Un sandbox di rete deterministico per testare le regole di nftables. Utilizza namespace di rete Linux effimeri (netns) e Scapy per validare in modo sicuro la logica del firewall. | Kitploit

Garanzia	Meccanismo
Il monitor era agganciato prima del primo pacchetto di test	Un canary di prontezza viene iniettato e re-iniettato finché la sua traccia nel kernel non viene osservata. Nessuna osservazione, nessuna esecuzione.
Il monitor era ancora agganciato dopo l'ultimo	Un canary di vitalità viene eseguito dopo l'iniezione. Se viene mancato, il flusso dei verdetti viene dichiarato troncato.
Il parser ha capito ciò che il kernel ha detto	Le righe di traccia che non corrispondono ad alcun pattern vengono contate, e qualsiasi conteggio maggiore di zero è un errore anziché un log di debug.
Il monitor non è morto silenziosamente	Il ciclo di lettura registra perché è terminato — stop pulito, EOF inatteso, timeout o crash — e solo uno stop pulito è accettabile.
Un verdetto mancante non è un superamento	Il runner CLI fallisce quando il numero di verdetti osservati differisce da quello atteso, in entrambe le direzioni.

import asyncio
from nse.core.netns_controller import NetnsController
from nse.core.pipeline import run_test_pipeline
from nse.models.test_request import TestRequest, PacketSpec

rules = """
table ip filter {
    chain input {
        type filter hook input priority 0; policy drop;
        tcp dport 80 accept
    }
}
"""

request = TestRequest(
    rules=rules,
    packets=[
        PacketSpec(protocol="tcp", src_ip="10.0.0.1", dst_ip="10.0.0.2", dst_port=80),
        PacketSpec(protocol="tcp", src_ip="10.0.0.1", dst_ip="10.0.0.2", dst_port=22),
    ],
)


async def main():
    controller = NetnsController()
    events = await run_test_pipeline(request=request, controller=controller)
    for evt in events:
        if evt.verdict:
            print(f"[{evt.chain}] Verdict: {evt.verdict}")


asyncio.run(main())

tests:
  - name: "Allow HTTP Port 80, Drop SSH Port 22"
    topology: simple
    rules: |
      table ip filter {
        chain input {
          type filter hook input priority 0; policy drop;
          tcp dport 80 accept
        }
      }
    packets:
      - protocol: tcp
        src_ip: 10.0.0.1
        dst_ip: 10.0.0.2
        dst_port: 80
        expected_verdict: ACCEPT
      - protocol: tcp
        src_ip: 10.0.0.1
        dst_ip: 10.0.0.2
        dst_port: 22
        expected_verdict: DROP

graph TD
    subgraph Step1["1. Test Specification"]
        Req["<b>TestRequest</b><br/>ruleset + packets + topology"]
    end

    subgraph Step2["2. Ephemeral Netns Sandbox"]
        direction TB
        Netns["<b>Netns Setup</b><br/>nse_&lt;id&gt; & veth links"]
        RuleEng["<b>Rule Engine</b><br/>validate & load nftables"]
        Inject["<b>Scapy Injector</b><br/>L2/L3 packet injection"]
        NFT["<b>Kernel nftables</b><br/>meta nftrace set 1"]

        Netns --> RuleEng
        RuleEng --> Inject
        Inject --> NFT
    end

    subgraph Step3["3. Trace Evaluation & Oracle"]
        direction TB
        Harvester["<b>Trace Harvester</b><br/>nft monitor trace stream"]
        Oracle["<b>Deterministic Oracle</b><br/>TraceEvents & verdicts"]

        Harvester --> Oracle
    end

    Step1 --> Step2
    Step2 --> Step3

NetworkSandboxEngine/
├── nse/                        # Core PyPI package (network-sandbox-engine)
│   ├── core/                   # Kernel primitives, pipeline, and naming rules
│   ├── models/                 # Pydantic models (TestRequest, PacketSpec, TraceEvent)
│   └── cli/                    # Headless YAML runner entrypoint
├── docs/                       # Architecture specs and MkDocs web documentation
├── tests/                      # Unit, golden file, and privileged e2e tests
│   └── fixtures/nft_trace/     # Golden `nft monitor trace` corpus
├── pyproject.toml              # Build backend configuration
└── Makefile                    # Local automation and CI workflow

NetworkSandboxEngine

Più Popolari

Perché NSE?

Richiede root

Il contratto dell'oracle

Funzionalità

Requisiti

Installazione

1. Pacchetto PyPI (consigliato)

2. Installazione manuale dai sorgenti

Avvio rapido

1. Libreria Python headless

2. Runner di suite di test YAML (CLI)

3. In un container

Come funziona

Struttura del progetto

Rilascio

Documentazione

Test e CI locale

Licenza