공지: 라이선스가 CMD 버전(GPLv3)에서 변경되었습니다. 'FULL' 버전(현재 브랜치)은 AGPLv3로 라이선스가 부여됩니다.

개요

DNXFIREWALL™는 표준 리눅스 시스템을 영역 기반 차세대 방화벽으로 변환하기 위한 최적화/고성능 애플리케이션 및 서비스 모음입니다. 주요 보안 모듈은 시스템을 통과하는 모든 연결, 스트림 및 메시지를 직접/인라인으로 제어합니다.

                       ------------------------------------------------------
                       | (outbound)                                         |
                       |                                                    V
                       |                                 --------------> [dns proxy (*1)] --------
                       |                                 | (outbound)                            |
                       |          (bi-directional)       |                                       V
TCP/IP stack ----> [cfirewall] -------------------> [ip proxy] ------------------------> ((*packet verdict*)) ----> TCP/IP stack
                      |  |                               |                                       ^    ^
                      |  |                               | (inbound)                             |    |
                      |  |                               --------------> [ids/ips (*2)] ----------    |
                      |  |                                                  ^                         |
                      |  | (inbound)                                        |                         |
                      |  ----------------------------------------------------                         |
                      |                                                                               |
                      ---------------------------------------------------------------------------------

(*1) dns 프록시는 내부 네트워크 간 또는 LAN에서 인터넷으로 가는 dns 페이로드를 검사하도록 특별히 설계되었습니다.
(*2) ids/ips는 (적어도 현재로서는) 인터넷에서 LAN 네트워크로 들어오는 트래픽만 검사하도록 특별히 설계되었습니다.
- 이 결정은 이 공간의 위협 중 99.99%(일반화)가 인터넷에서 발생한다는 사실에 기반합니다.

저수준 "아키텍처, 시스템 설계" 비디오가 추후 제작되어 순수 파이썬으로 이것이 어떻게 가능한지 보여줄 예정입니다.

포함된 기능

신규: 배포를 간소화하기 위해 이제 sqlite3가 기본 데이터베이스로 사용됩니다. postgresql은 여전히 백엔드에 존재하며 향후 릴리스에서 시스템 배포 중 활성화할 수 있습니다.

신규: 자동 배포 유틸리티(autoloader)가 이제 작동 중입니다. 이 유틸리티는 호환되는 모든 배포판에 시스템을 배포하는 데 사용해야 합니다. 자세한 내용은 호환 배포판 목록을 참조하세요.

신규: 전체 영역 기반 방화벽 규칙(소스 및 대상) 및 규칙별 보안 프로필.

사용자 정의 패킷 핸들러
- C로 구현됨
- 상태 저장 또는 상태 비저장 패킷 검사
- 복잡한 패킷 결정 (보안 모듈로 패킷 동작 연기)
DNS 프록시 (아웃바운드 또는 교차 LAN 네트워크)
- 카테고리 기반 차단 (일반, TLD, 부분 문자열 매칭)
- 사용자 추가 화이트리스트/블랙리스트 또는 맞춤형 일반 카테고리 생성
DNS 서버 (최근 DNS 프록시에서 분리되었지만 프로세스 리소스를 공유함)
- 네이티브 DNS over TLS 변환 및 선택적 UDP 폴백
- 로컬 DNS 서버 (패킷 조작을 통한 권한)
- 자동 소프트웨어 장애 조치
- 2단계 레코드 캐싱
IP 프록시 (투명) 양방향
- 평판 기반 호스트 필터링 (C로 구현된 탐지)
- 지리적 위치 필터 (국가 차단, C로 구현된 탐지)
IPS/IDS (인바운드)
- 서비스 거부 탐지/방지
- 포트 스캔 탐지/방지
경량 DHCP 서버 (네이티브 소프트웨어)
- IP 예약
- 인터페이스 수준 제어 (활성화/비활성화)
- 보안 경고 통합
일반 서비스
- 로그 처리
- 데이터베이스 관리
- syslog 클라이언트 (UDP, TCP, TLS) 중요: 내부 API 변경으로 인해 현재 사용 불가능 상태입니다. 이 서비스는 기본적으로 활성화되지 않습니다.
추가 기능
- IPv6 비활성화
- DNS 프록시 우회 방지
  - DNS over HTTPS 제한
  - DNS over TCP 제한
  - DNS over TLS 제한
- 관리용 최신 웹 UI
- 시스템 수준 유지 관리를 위한 사용자 정의 셸 유틸리티
  - 원클릭 업데이트를 위한 내장 시스템(dnxfirewall) 업데이터 포함

배포 방법 (autoloader 사용)

호환 배포판 목록에서 리눅스 배포판 선택 (아래 참조)
물리적 하드웨어 또는 VM에 리눅스 설치

2a. (3) 개의 인터페이스 필요 (WAN, LAN, DMZ)

2b. OS 설치 중 또는 완료 후 "dnx" 사용자 생성

2c. python3.8 설치 및 기본값으로 설정 (해당하는 경우)
시스템 업그레이드 및 업데이트
git 설치
https://github.com/dowrighttv/dnxfirewall.git을 "dnx" 사용자 홈 디렉터리(/home/dnx)에 클론
"dnx" 사용자로 로그인하고 다음 명령 실행: sudo python3 dnxfirewall/dnx_run.py cli autoloader
프롬프트에 따라 물리적 인터페이스를 dnxfirewall 내장 영역에 연결
유틸리티 완료 후 시스템 재시작 및 지정된 URL로 이동

dnxfirewall autoloader와 호환되는 리눅스 배포판

Debian 기반 배포판
- 리눅스 커널 >= 2.6.31
- 파이썬 3.8+
- netplan (우분투 인터페이스/네트워크 관리자)

외부 기여자

afallenhope - 웹 디자인, UX 및 템플릿 -> https://github.com/afallenhope

외부 코드 출처

https://www.ip2location.com/free/visitor-blocker | 지리적 위치 필터링 데이터셋 (국가별 IP 주소 할당)

https://gitlab.com/ZeroDot1/CoinBlockerLists | 암호화폐 채굴기 호스트 데이터셋

psql 전용: https://github.com/tlocke/pg8000 | 순수 파이썬 PostgreSQL 어댑터

dnxfirewall

인기