AVISO: A licença mudou da versão CMD (GPLv3). A versão 'FULL' (ramo atual) está licenciada sob AGPLv3.

Visão Geral

                       ------------------------------------------------------
                       | (outbound)                                         |
                       |                                                    V
                       |                                 --------------> [dns proxy (*1)] --------
                       |                                 | (outbound)                            |
                       |          (bi-directional)       |                                       V
TCP/IP stack ----> [cfirewall] -------------------> [ip proxy] ------------------------> ((*packet verdict*)) ----> TCP/IP stack
                      |  |                               |                                       ^    ^
                      |  |                               | (inbound)                             |    |
                      |  |                               --------------> [ids/ips (*2)] ----------    |
                      |  |                                                  ^                         |
                      |  | (inbound)                                        |                         |
                      |  ----------------------------------------------------                         |
                      |                                                                               |
                      ---------------------------------------------------------------------------------

Funcionalidades Incluídas

NOVO: sqlite3 é agora o banco de dados padrão em uso (para simplificar implantações). postgresql ainda está presente no backend e poderá ser ativado durante a implantação do sistema em uma versão futura.

NOVO: Utilitário de implantação automática (autoloader) está agora ativo. Deve ser usado para implantar o sistema em qualquer distribuição compatível. Veja a lista de distribuições compatíveis para mais detalhes.

NOVO: regras de firewall completas baseadas em zonas (origem e destino) e perfis de segurança por regra.

• Manipulador de pacotes personalizado

  • implementado em C
  • inspeção de pacotes stateful ou stateless
  • decisões complexas de pacotes (adiar ação do pacote para módulos de segurança)

• Proxy DNS (saída ou entre redes LAN)

  • bloqueio baseado em categorias (geral, TLD, correspondência de substring)
  • lista de permissões/negações adicionadas pelo usuário ou criação de categoria geral personalizada

• Servidor DNS (recentemente separado do proxy DNS, mas compartilha recursos de processo)

  • conversão nativa de DNS sobre TLS com fallback opcional para UDP
  • servidor DNS local (autoritativo via manipulação de pacotes)
  • failover automático de software
  • 2 níveis de cache de registros

• Proxy IP (transparente) bidirecional

  • filtragem de host baseada em reputação (detecção implementada em C)
  • filtro de geolocalização (bloqueio por país, detecção implementada em C)

• IPS/IDS (entrada)

  • detecção/prevenção de negação de serviço
  • detecção/prevenção de varredura de portas

• Servidor DHCP leve (software nativo)

  • reservas de IP
  • controle a nível de interface (ativar/desativar)
  • integração de alertas de segurança

• Serviços Gerais

  • manipulação de logs
  • gerenciamento de banco de dados
  • cliente syslog (UDP, TCP, TLS) IMPORTANTE: atualmente em estado inutilizável devido a muitas mudanças internas na API que quebram compatibilidade. este serviço não será ativado por padrão.

• Recursos Adicionais

  • IPv6 desativado
  • prevenção de bypass do proxy DNS
    • DNS sobre HTTPs restrito
    • DNS sobre TCP restrito
    • DNS sobre TLS restrito
  • Interface web moderna para administração
  • utilitário de shell personalizado para manutenção a nível de sistema
    • inclui atualizador integrado do sistema (dnxfirewall) para atualizações com 1 clique

Para implantar (usando autoloader)

1. selecione a distribuição linux na lista de distribuições compatíveis (veja abaixo)

2. instale o linux em hardware físico ou uma VM

   2a. (3) interfaces são necessárias (WAN, LAN, DMZ)

   2b. crie o usuário "dnx" durante a instalação do SO ou após a conclusão

   2c. instale e torne o python3.8 padrão (se aplicável)

3. faça upgrade e atualização do sistema

4. instale o git

5. clone https://github.com/dowrighttv/dnxfirewall.git para o diretório home do usuário "dnx" (/home/dnx)

6. faça login como usuário "dnx" e execute o comando: sudo python3 dnxfirewall/dnx_run.py cli autoloader

7. siga as instruções para associar as interfaces físicas às zonas internas do dnxfirewall

8. após a conclusão do utilitário, reinicie o sistema e navegue até a URL especificada

Distribuições linux compatíveis com o autoloader do dnxfirewall

• Distribuições baseadas em Debian
  • Kernel Linux >= 2.6.31
  • Python 3.8+
  • netplan (gerenciador de interface/rede do Ubuntu)

Contribuidores Externos

Fontes de código externas

https://www.ip2location.com/free/visitor-blocker | conjuntos de dados de filtragem de geolocalização (atribuições de endereços IP por país)

https://gitlab.com/ZeroDot1/CoinBlockerLists | conjunto de dados de hosts de criptomineração

apenas psql: https://github.com/tlocke/pg8000 | adaptador postgresql em Python puro