jp1337/easywallInterface web para o firewall nftables no Linux, escrita em Go. A aplicação é desfeita após 120 segundos, a menos que você a confirme — você não consegue se bloquear. Instalação via Debian e Docker.
<p align="center">
<img src="https://raw.githubusercontent.com/jp1337/easywall/HEAD/web/static/icon.svg" alt="" width="88" height="88">
</p>
<h1 align="center">easywall</h1>
<p align="center"><em>Seu firewall. Suas regras. Sem surpresas.</em></p>
<!-- One badge service, so the set shares a shape, a typeface and a logo
treatment. The three status badges read from the workflows by name; the
version, licence and Go badges read from the repository and go.mod, so
none of them can drift the way a hand-written version number could. -->
<p align="center">
<a href="https://github.com/jp1337/easywall/actions/workflows/test.yml"><img src="https://img.shields.io/github/actions/workflow/status/jp1337/easywall/test.yml?branch=main&label=tests&logo=github&logoColor=white" alt="Tests"></a>
<a href="https://github.com/jp1337/easywall/actions/workflows/build.yml"><img src="https://img.shields.io/github/actions/workflow/status/jp1337/easywall/build.yml?branch=main&label=build&logo=github&logoColor=white" alt="Build"></a>
<a href="https://github.com/jp1337/easywall/actions/workflows/security.yml"><img src="https://img.shields.io/github/actions/workflow/status/jp1337/easywall/security.yml?branch=main&label=security&logo=github&logoColor=white" alt="Security"></a>
<a href="https://codecov.io/gh/jp1337/easywall"><img src="https://img.shields.io/codecov/c/github/jp1337/easywall?logo=codecov&logoColor=white&label=coverage" alt="Coverage"></a>
</p>
<p align="center">
<a href="https://github.com/jp1337/easywall/releases/latest"><img src="https://img.shields.io/github/v/release/jp1337/easywall?logo=github&logoColor=white&label=release" alt="Latest release"></a>
<a href="https://go.dev"><img src="https://img.shields.io/github/go-mod/go-version/jp1337/easywall?logo=go&logoColor=white&label=go" alt="Go version"></a>
<a href="https://www.gnu.org/licenses/gpl-3.0"><img src="https://img.shields.io/github/license/jp1337/easywall?logo=opensourceinitiative&logoColor=white&label=license&color=blue" alt="GPL-3.0"></a>
<a href="https://discord.gg/3zJMvChvUA"><img src="https://img.shields.io/badge/discord-join-5865F2?logo=discord&logoColor=white" alt="Discord"></a>
<a href="https://ko-fi.com/jp1337"><img src="https://img.shields.io/badge/ko--fi-support-13C3FF?logo=kofi&logoColor=white" alt="Support on Ko-fi"></a>
</p>
<p align="center">
<a href="https://demo.easywall-project.org"><strong>Demonstração ao vivo</strong></a> ·
<a href="https://easywall-project.org"><strong>Documentação</strong></a> ·
<a href="https://github.com/jp1337/easywall/blob/main/CHANGELOG.md">Changelog</a>
</p>
nftables através de uma interface web que não pode te trancar do lado de fora: **toda aplicação se reverte, a menos que você a confirme.**
<picture>
<source media="(prefers-color-scheme: dark)" srcset="docs/assets/img/screens/dashboard-dark.png">
<img src="https://assets.kitploit.com/production/public/readmes/43596/614cbeca6ebf752bf79ddc8d910eb14f46b45390f1cb5b8f53032578aed5fb40.png" alt="O painel do easywall: status do firewall com estado de aceitação, alterações pendentes e última aplicação; cartões contando portas TCP, portas UDP, blocklist, allowlist, regras personalizadas e encaminhamento; e uma lista de atividade recente.">
</picture>
## A ideia
Editar uma regra não muda nada. Aplicá-la muda tudo — por 120 segundos.
Se as novas regras cortarem sua conexão, você não poderá clicar em Confirmar, e *não* confirmar
é o que traz as regras antigas de volta.
<picture>
<source media="(prefers-color-scheme: dark)" srcset="docs/assets/diagrams/apply-flow-dark.svg">
<img src="https://raw.githubusercontent.com/jp1337/easywall/HEAD/docs/assets/diagrams/apply-flow-light.svg" alt="Máquina de estados: editar leva a Preparado, aplicar leva a Ativo, confirmar dentro da janela leva a Confirmado, e deixar a janela expirar leva a Revertido, de onde as edições preparadas ainda estão disponíveis.">
</picture>
## Arquitetura
Dois processos. O que está exposto à rede não detém nenhum privilégio que valha a pena roubar.
<picture>
<source media="(prefers-color-scheme: dark)" srcset="docs/assets/diagrams/architecture-dark.svg">
<img src="https://raw.githubusercontent.com/jp1337/easywall/HEAD/docs/assets/diagrams/architecture-light.svg" alt="O navegador fala HTTPS com o easywall-web, que roda sem privilégios; o easywall-web fala JSON tipado por um socket Unix com o easywall-core, que roda como root e fala netlink com a tabela nftables inet easywall.">
</picture>
Uma reescrita completa do easywall original — Python, Flask, `iptables` via
subprocess — que foi arquivado em 2022 após uma CVE. Ambas as causas raiz foram eliminadas:
os privilégios vivem em um processo diferente, e o caminho de aplicação constrói structs Go
em vez de uma linha de comando. [Como funciona →](https://easywall-project.org/architecture/)
## Instalação
<picture>
<source media="(prefers-color-scheme: dark)" srcset="docs/assets/diagrams/install-choice-dark.svg">
<img src="https://raw.githubusercontent.com/jp1337/easywall/HEAD/docs/assets/diagrams/install-choice-light.svg" alt="Árvore de decisão: apenas olhando leva ao modo demo; Debian ou Ubuntu leva ao pacote .deb; já executando contêineres leva ao Docker; caso contrário, compile a partir do código-fonte.">
</picture>
```bash
# Debian / Ubuntu — amd64 and arm64
ARCH=$(dpkg --print-architecture)
wget https://github.com/jp1337/easywall/releases/latest/download/easywall_$ARCH.deb
sudo dpkg -i easywall_$ARCH.deb && sudo apt-get install -f
# Docker
git clone https://github.com/jp1337/easywall.git && cd easywall && docker compose up -d
# From source — Go 1.27+, nftables
git clone https://github.com/jp1337/easywall.git && cd easywall
make build && sudo make install
sudo systemctl enable --now easywall-core easywall-web
```
Depois abra `https://localhost:12227`. A primeira visita
[configura a conta e prepara as primeiras regras](https://easywall-project.org/installation/first-run/).
## O que você recebe
| | |
|---|---|
| **Portas** | TCP e UDP, única ou intervalo, com roteamento de força bruta SSH por regra |
| **Blocklist e allowlist** | IPv4, IPv6 e CIDR, avaliados antes de qualquer regra de porta |
| **Módulos de proteção** | Doze, cinco ativados por padrão — floods, scans, bogons, fragmentos, broadcast/multicast/anycast |
| **Encaminhamento de portas** | Redirecionamentos NAT com seleção de protocolo |
| **Regras personalizadas** | nftables bruto, com verificação de sintaxe antes de ser aplicado |
| **Exportar / importar** | Todo o conjunto de regras como JSON |
| **Log de auditoria** | O que mudou e quando, um objeto JSON por linha |
| **Coexistência com Docker** | Possui a `table inet easywall`, não toca em mais nada |
| **Inglês, Deutsch, Français** | Alternável na interface, inclusive antes do login. Um idioma pode estar parcial: o que falta é exibido em inglês, e a lacuna é reportada em vez de ocultada |
| **Claro e escuro** | Segue o SO, com alternância manual; ambos com contraste verificado |
## Construído com
| | |
|---|---|
| Go 1.27, binário único | `go-chi/chi` · `html/template` |
| nftables via `google/nftables` | netlink direto, sem subprocess `nft` |
| Argon2id | `golang.org/x/crypto`, salt de 16 bytes por senha |
| CSRF | `net/http.CrossOriginProtection`, nativo do Go 1.25 |
| Sistema de design | [`DESIGN.md`](https://github.com/jp1337/easywall/blob/main/DESIGN.md) + Tailwind v4 — sem biblioteca de UI de terceiros |
| Fontes | Inter + JetBrains Mono, auto-hospedadas, ~145 KB — funciona em rede isolada |
| CI | `govulncheck`, `gosec`, CodeQL, `-race`, e uma suíte de integração contra um kernel real |
## Obtendo ajuda
| | |
|---|---|
| Uma dúvida, ou algo não funcionando | [Discord](https://discord.gg/3zJMvChvUA) |
| Um bug, ou um recurso que você quer | [GitHub issues](https://github.com/jp1337/easywall/issues) |
| Uma vulnerabilidade de segurança | [Security advisory](https://github.com/jp1337/easywall/security/advisories/new) — **não** o Discord, e não uma issue pública |
## Contribuindo
Configuração, convenções de commit e a checklist de revisão: [CONTRIBUTING.md](https://github.com/jp1337/easywall/blob/main/CONTRIBUTING.md).
Qualquer coisa visual passa primeiro pelo [`DESIGN.md`](https://github.com/jp1337/easywall/blob/main/DESIGN.md).
Problemas de segurança: **não** como uma issue pública — use
[GitHub Security Advisories](https://github.com/jp1337/easywall/security/advisories/new).
## Licença
GPL-3.0 — veja [LICENSE](https://github.com/jp1337/easywall/blob/main/LICENSE).