DNS-прокси, простой и быстрый, с не такими уж простыми возможностями. Ориентирован на маршрутизируемую пересылку DNS, фильтрацию и родительский контроль.
DNS-прокси, который даёт вам реальный контроль над домашней сетью.
Я годами работал консультантом на «взрослой» арене сетей и безопасности. DNS-безопасность была и остаётся моей повседневной работой, а также любимым хобби для экспериментов. Поскольку теперь у меня есть дети и мне нужно быть ответственным родителем, я взял на себя задачу фильтровать для них большой и опасный интернет. Так я создал sdproxy (Simple DNS Proxy). Он привносит корпоративные/«взрослые» защиты/методы/точность на уровень домашней сети (вроде того).
Прокси написан на Go и компилируется в компактный бинарник для дешёвых роутеров. Здесь НЕТ облачных подписок или ежемесячных платежей. Он говорит на всех диалектах DNS и включает адаптивный контроль допуска для стабильной работы. Это просто компактная (вроде того), злая, голландская инженерная точность для гостиной. Только вы, один исполняемый файл и yaml-файл.
И помните... Это всегда DNS!
Примечание: Файл full_reference_config.yaml в этом репозитории всегда более актуален, чем этот README. Если сомневаетесь — проверяйте там.
DNS — это телефонная книга интернета: каждое устройство в вашей сети ищет имя, прежде чем куда-либо подключиться.
sdproxy находится посередине этого процесса, на вашем роутере, и позволяет вам решать, что произойдёт дальше: закешировать, заблокировать, направить к другому резолверу, применить продвинутые ML-модели безопасности или установить лимиты времени для каждого ребёнка. Никаких облачных подписок, ежемесячных платежей и внешних сервисов, которые могут упасть.
Он написан на Go, компилируется в один бинарник и достаточно компактен, чтобы работать на дешёвых домашних роутерах (OpenWrt на TP-Link, GL.iNet или NetGear, pfSense, OPNsense или просто на обычной Linux-машине).
См. KEY_ADVANTAGES.md для ключевых преимуществ по сравнению с альтернативами.
Старый добрый UDP/TCP (порт 53), шифрованный DNS-over-TLS (DoT), DNS-over-HTTPS (DoH) и DNS-over-QUIC (DoQ).
sdproxy нативно разбирает заголовки Alt-Svc и параметры SVCB/HTTPS ALPN, чтобы на лету бесшовно обновлять стандартные потоки DoH до высокопроизводительных соединений HTTP/3 (QUIC).Защищает ваш просмотр от глубокой инспекции пакетов со стороны провайдера, шифруя TLS Server Name Indication (SNI).
_dns.resolver.arpa SVCB/HTTPS) и HTTPS-эндпоинты /.well-known/origin-svcb / /.well-known/ech.HTTPS/SVCB (и L7-фолбэки .well-known), извлекает их ECH-ключи и полностью автономно защищает TLS-рукопожатие.Нативный, zero-allocation ML-движок логистической регрессии работает на горячем пути. Он извлекает энтропию Шеннона, перекос гласных/согласных, шаблоны завершающих цифр и цепочки согласных, чтобы мгновенно обнаруживать и блокировать алгоритмически сгенерированные домены (DGA), используемые ботнетами, вредоносным ПО и инфраструктурой C2.
eTLD+1), в настраиваемом временном окне, чтобы перехватывать медленное DNS-туннелирование и утечки info-stealer.sdproxy не просто слепо пересылает запросы; он динамически оценивает вышестоящие серверы.
max_secure_upstreams (по умолчанию 5) здоровых серверов в группе. Глубоко инспектирует полезную нагрузку (цепочки CNAME, конечные IP-эндпоинты) с поддержкой предпочтений fastest, ordered и consolidate (объединённый набор ответов), и отбрасывает или блокирует ответ, если вышестоящие серверы расходятся или возвращают отравленный NULL-IP.Недавно что-то отвечали? Отдайте это из кеша. sdproxy использует 32 криптографически засеянных сегмента памяти с опциональной дискововой персистентностью между перезагрузками. Если запись истекает, оставаясь популярной, sdproxy запускает фоновую предвыборку, чтобы ваши устройства никогда не замечали промах кеша. Он полностью поддерживает RFC 8767 Stale-Serving и фолбэки serve_stale_infinite при сбоях.
Укажите ему на ваши файлы аренды DHCP и /etc/hosts, и он будет отвечать на локальные запросы имён (ваш NAS, ваш принтер, ваш Pi), не беспокоя вышестоящий резолвер и не утекая LAN-запросы наружу. Работает с dnsmasq, ISC DHCP, Kea и odhcpd.
Сопоставьте идентичность устройства с другой группой вышестоящих резолверов или родительским профилем.
CC:XX через IPinfo), имя клиента, TLS SNI (sni:), пути HTTP DoH (path:) и порты слушателя (port:).force-and: true (например, подсеть И порт слушателя).rcode: REFUSED, NXDOMAIN, BLOCK, DROP) напрямую к правилу маршрутизации для мгновенного карантина клиента.Настройте профиль на каждого ребёнка, назначьте их устройства и настройте:
group или на device). Поддерживает ALLOW, BLOCK, FREE, LOG, UNLIMITED и временные переопределения окна UNTRIGGER.Опциональный, защищённый паролем браузерный UI (HTTP/HTTPS или мультиплексированный на порту DoH 443) для живых операций.