FencePost

Painel de firewall UFW para múltiplos hosts. Conecta-se a hosts Linux via SSH, analisa regras de firewall e portas de escuta, explica tudo em português claro e sinaliza lacunas de segurança.

Funcionalidades

• Visão geral de múltiplos hosts — veja o status do UFW, políticas padrão e serviços ativos em todos os hosts de uma só vez
• Explicações em português claro — cada regra de firewall é traduzida para descrições legíveis com nomes de VLAN e serviços
• Detecção de lacunas — encontra portas de escuta que não possuem uma regra de permissão UFW correspondente, separadas por exposição externa vs. local
• Diagnóstico de conexão — rastreie um IP de origem + porta de destino através da cadeia de regras para ver se o tráfego seria permitido, bloqueado ou rejeitado
• Detecção de alterações — compara o estado atual com o último instantâneo e publica eventos (regras adicionadas/removidas, UFW ativado/desativado, hosts inacessíveis) em um webhook
• Ciente de Docker — sinaliza hosts Docker onde o iptables pode contornar o UFW

Capturas de tela

Páginas

Arquitetura

Navegador --> Cloudflare Tunnel --> Proxy Reverso --> FencePost (:8890)
  Container FastAPI
    |-- SSH --> Host 1 (ufw status, ss -tlnp)
    |-- SSH --> Host 2
    |-- SSH --> Host N
    '-- POST --> Webhook de notificação

O FencePost é somente leitura — ele nunca modifica regras de firewall, apenas as reporta.

Início rápido

Pré-requisitos

• Python 3.12+ (desenvolvimento local) ou Docker (produção)
• Par de chaves SSH (ed25519) com chave pública implantada nos hosts de destino
• Entrada no sudoers em cada host para o usuário SSH:
  root@kitploit:~

  <user> ALL=(ALL) NOPASSWD: /usr/sbin/ufw status verbose, /usr/sbin/ufw status numbered, /usr/bin/ss -tlnp
  

1. Clonar e configurar

git clone <repo-url> && cd fencepost

# Adicione sua chave SSH
cp ~/.ssh/your_key ssh/id_ed25519
chmod 600 ssh/id_ed25519

# Crie seu arquivo de ambiente a partir do modelo
cp .env.example .env
# Edite .env com credenciais reais

2. Editar config.yaml

timezone: Australia/Melbourne

hosts:
  - name: Meu Servidor
    hostname: 192.168.1.10
    ssh_user: deploy
    ssh_port: 22
    is_docker_host: false

networks:
  "192.168.1.0/24": "LAN"

3. Executar

Desenvolvimento local

python -m venv .venv
source .venv/bin/activate
pip install -r requirements.txt

# Carregar variáveis de ambiente (bash/zsh)
export $(grep -v '^#' .env | xargs)

uvicorn app.main:app --reload --port 8890

Abra http://localhost:8890.

Nota: o modo local usa a chave SSH no caminho especificado em config.yaml (ssh.key_path). Para desenvolvimento local, talvez você queira sobrescrever isso para apontar para o seu ssh/id_ed25519 local:

ssh:
  key_path: ssh/id_ed25519
  timeout: 10

Docker (produção)

docker compose up -d --build

Abra http://localhost:8890. O container lê as credenciais automaticamente do .env via compose.yaml.

Configuração

config.yaml

Variáveis de ambiente (.env)

As credenciais são armazenadas em .env (ignorado pelo git) e referenciadas pelo compose.yaml. Nunca envie segredos para o repositório.

Stack tecnológica

• Backend: Python 3.12 / FastAPI / Uvicorn
• SSH: Paramiko com autenticação por chave ed25519
• Templates: Jinja2 (renderizado no servidor, sem framework JS)
• Cliente HTTP: httpx (notificações via webhook)
• Estilização: CSS customizado, tema escuro, sem framework
• Fontes: DM Mono (dados), Anybody (títulos)

Estrutura do projeto

app/
  main.py           # Rotas e autenticação do FastAPI
  models.py         # Dataclasses: HostFirewallState, UFWRule, ListeningPort
  parser.py         # Analisa a saída do ufw status e ss
  explainer.py      # Traduz regras para português claro
  diagnose.py       # Motor de diagnóstico de conexão
  gap_detector.py   # Encontra portas de escuta descobertas
  ssh_client.py     # Wrapper para Paramiko, busca paralela de hosts
  eventfeed.py      # Detecção de alterações e postagem em webhook
  templates/
    base.html       # Layout, CSS, navegação
    overview.html   # Grade do painel de hosts
    host_detail.html # Visualização detalhada por host com abas
    diagnose.html   # Formulário e resultados do diagnóstico de conexão
    login.html      # Página de autenticação
config.yaml         # Definições de hosts, VLANs, dispositivos, fuso horário
compose.yaml        # Definição do serviço Docker Compose
Dockerfile          # Imagem Python 3.12 slim
.env.example        # Modelo para variáveis de ambiente
ssh/                # Diretório de chaves SSH (a chave não é commitada)
data/               # Estado em tempo de execução (last_state.json, não commitado)

Adicionar um host

1. Adicione uma entrada em config.yaml sob hosts:
2. Copie a chave pública SSH para o host: ssh-copy-id -i ssh/id_ed25519.pub user@host
3. Crie /etc/sudoers.d/fencepost no host com as regras NOPASSWD necessárias
4. Reconstrua: docker compose up -d --build

Notificações

Quando configurado em config.yaml com uma variável de ambiente NOTIFICATIONS_API_KEY, o FencePost envia eventos de alteração a cada atualização do painel:

• UFW ativado / desativado
• Regras adicionadas / removidas (com detalhes da regra)
• Novas portas externas descobertas
• Host ficou inacessível / recuperado

Os eventos incluem chaves de idempotência para evitar duplicatas.

Licença

MIT