sdproxy

Proxy DNS simples e rápido com funcionalidades não tão simples. Focado em encaminhamento DNS roteado, filtragem e controle parental.

O que faz

Fala todos os sabores de DNS e faz Auto-Upgrades

UDP/TCP simples (porta 53), DNS encriptado sobre TLS (DoT), DNS sobre HTTPS (DoH), e DNS sobre QUIC (DoQ).

• Upgrades Dinâmicos para DoH3: O sdproxy analisa nativamente os cabeçalhos Alt-Svc e atualiza perfeitamente fluxos DoH padrão para ligações HTTP/3 (QUIC) de alto desempenho em tempo real.

Encrypted Client Hello (ECH) e Auto-Descoberta DDR

Protege a sua navegação da inspeção profunda de pacotes do ISP ao encriptar o Server Name Indication (SNI) do TLS.

• ECH de Entrada: O sdproxy atua como um servidor ECH completo, desencriptando client hellos e transmitindo nativamente as suas próprias chaves para a sua rede local via DDR (Discovery of Designated Resolvers).
• Auto-Descoberta ECH de Saída: Ao comunicar com fornecedores upstream, o sdproxy interroga ativamente os seus registos HTTPS/SVCB, extrai as suas chaves ECH, e protege o handshake TLS de forma completamente autónoma.

Deteção de DGA com Machine Learning

Um motor de inferência de ML de Regressão Logística nativo, com zero alocações, corre no caminho crítico. Extrai entropia de Shannon, desvio de vogais/consoantes, e cadeias de n-gramas para detetar e bloquear instantaneamente Domínios Gerados Algoritmicamente (DGA) usados por botnets, malware, e infraestrutura C2.

Defesa contra Exfiltração de Dados e Túneis DNS

A criação de perfis de base volumétricos rastreia a Média Móvel Exponencial (EMA) com Suavização Alfa dos dados transferidos por cliente ou por sub-rede. Deteta explosões súbitas e anómalas de dados a sair da rede pela porta 53 e coloca o cliente num Penalty Box de alto desempenho.

Encaminhamento Empresarial e Validação por Consenso

O sdproxy não se limita a encaminhar consultas cegamente; avalia os upstreams dinamicamente.

• Consenso Seguro: Consulta todos os upstreams de um grupo simultaneamente. Inspeciona profundamente os payloads (cadeias CNAME, endpoints IP finais) e descarta ativamente a ligação se QUALQUER upstream devolver dados divergentes ou um NULL-IP envenenado.
• EMA Mais Rápida: Rastreia a latência em nanossegundos de cada upstream. Usa um algoritmo Epsilon-Greedy para se manter no resolver mais rápido, reservando 5% das consultas para exploração aleatória para descobrir caminhos de rede em recuperação.
• Coalescência SingleFlight: Consultas concorrentes idênticas que falham a cache são perfeitamente coalescidas numa única execução de saída, eliminando picos de Thundering Herd.

Coloca em cache agressivamente

Respondeu a algo recentemente? Sirva-o a partir da cache. O sdproxy utiliza 32 shards de memória sem bloqueios, com sementes criptográficas. Se um registo expirar enquanto ainda é popular, o sdproxy desencadeia um prefetch em segundo plano para que os seus dispositivos nunca notem uma falha de cache. Suporta totalmente o RFC 8767 Stale-Serving.

Conhece a sua rede local

Aponte-o para os seus ficheiros de concessão DHCP e /etc/hosts e ele responderá a pesquisas de nomes locais (o seu NAS, a sua impressora, o seu Pi) sem incomodar um resolver upstream. Funciona com dnsmasq, ISC DHCP, Kea, e odhcpd.

Encaminha dispositivos diferentes de forma diferente

Mapeie a identidade de um dispositivo para um grupo de resolvers upstream diferente ou perfil parental.

• Identificadores: MAC exato, máscara glob de MAC, IP / CIDR, ASN (Autonomous System Number via IPinfo), Nome de cliente, TLS SNI, e Caminhos HTTP DoH.
• Sinkholes Instantâneos: Associe um Código de Retorno DNS explícito (RCODE: REFUSED, NXDOMAIN) diretamente a uma regra de encaminhamento para quarentena instantânea do cliente.

Controlo parental - por criança, por categoria

Configure um perfil por criança, atribua os seus dispositivos, e configure:

• Horários - Horas diferentes para dias de escola vs fins de semana.
• Orçamentos de Tempo - Rastreio acumulativo minuto a minuto. 2 horas no total, com sub-limites (1 hora de jogos, 30 minutos de redes sociais).
• Bloqueios de categoria - Carregados dinamicamente de repositórios públicos (uBlock, hosts, ou listas de domínios em bruto).
• Rastreio de Estado: O rastreio de tempo corre via TTLs de heartbeat DNS e snapshots para disco para sobreviver a reinicializações.

Painel de administração web

Interface opcional, protegida por palavra-passe, baseada no navegador para operações em tempo real.

• Alterne instantaneamente um grupo de dispositivos para ALLOW (portão totalmente aberto), BLOCK (cortar internet), FREE (suspender limites), ou LOG (modo de auditoria).
• Veja registos de consultas em direto e gráficos de desempenho de 24 horas em Ring-Buffer.

Protege contra DNS Rebinding

Descarta qualquer resposta upstream que contenha IPs privados ou bogon (RFC1918, loopbacks, ULAs) devolvendo NXDOMAIN para prevenir Server-Side Request Forgery (SSRF) e ataques de pivoting no navegador.

Início rápido

Requer Go 1.25+. Sem CGo, sem bibliotecas externas.

Configuração mínima

Compilar para o seu router

As flags -s -w removem os símbolos de depuração - poupa 30-40% do tamanho do binário, o que importa em armazenamento flash pequeno.

Configuração

Tudo vive num único ficheiro YAML. O full_reference_config.yaml neste repositório documenta cada opção inline - esse ficheiro é o manual. Copie-o, remova o que não precisa, ajuste o resto.

Saída de registo