sdproxy

DNS-прокси, простой и быстрый, с не такими уж простыми возможностями. Ориентирован на маршрутизируемую пересылку DNS, фильтрацию и родительский контроль.

Что он делает

Говорит на всех диалектах DNS и автоматически обновляется

Старый добрый UDP/TCP (порт 53), шифрованный DNS-over-TLS (DoT), DNS-over-HTTPS (DoH) и DNS-over-QUIC (DoQ).

• Динамические обновления до DoH3: sdproxy нативно разбирает заголовки Alt-Svc и на лету бесшовно обновляет стандартные потоки DoH до высокопроизводительных соединений HTTP/3 (QUIC).

Encrypted Client Hello (ECH) и автообнаружение DDR

Защищает ваш просмотр от глубокой инспекции пакетов со стороны провайдера, шифруя TLS Server Name Indication (SNI).

• Входящий ECH: sdproxy выступает как полноценный ECH-сервер, расшифровывая client hello и нативно транслируя свои ключи в вашу локальную сеть через DDR (Discovery of Designated Resolvers).
• Автообнаружение исходящего ECH: при обращении к вышестоящим провайдерам sdproxy активно опрашивает их записи HTTPS/SVCB, извлекает их ECH-ключи и полностью автономно защищает TLS-рукопожатие.

ML-обнаружение DGA

Нативный ML-движок логистической регрессии с нулевым выделением памяти работает на горячем пути. Он извлекает энтропию Шеннона, перекос гласных/согласных и n-граммные цепочки, чтобы мгновенно обнаруживать и блокировать алгоритмически сгенерированные домены (DGA), используемые ботнетами, вредоносным ПО и инфраструктурой C2.

Защита от утечки данных и DNS-туннелирования

Объёмное профилирование базовой линии отслеживает экспоненциально сглаженное скользящее среднее (EMA) с альфа-сглаживанием для данных, передаваемых на каждого клиента или подсеть. Оно обнаруживает внезапные аномальные всплески данных, покидающих сеть через порт 53, и отправляет клиента в высокопроизводительный «штрафной бокс» (Penalty Box).

Корпоративная маршрутизация и консенсусная валидация

sdproxy не просто слепо пересылает запросы; он динамически оценивает вышестоящие серверы.

• Безопасный консенсус: Одновременно опрашивает все вышестоящие серверы в группе. Он глубоко инспектирует полезные нагрузки (цепочки CNAME, конечные IP-эндпоинты) и активно разрывает соединение, если ЛЮБОЙ вышестоящий сервер возвращает несовпадающие данные или отравленный NULL-IP.
• Быстрейший EMA: Отслеживает наносекундную задержку каждого вышестоящего сервера. Использует эпсилон-жадный алгоритм, чтобы придерживаться самого быстрого резолвера, резервируя 5% запросов для случайного исследования, чтобы обнаруживать восстанавливающиеся сетевые пути.
• Объединение SingleFlight: Идентичные одновременные запросы с промахом кеша бесшовно объединяются в одно исходящее выполнение, устраняя всплески «громового стада» (Thundering Herd).

Агрессивное кеширование

Недавно что-то отвечали? Отдайте это из кеша. sdproxy использует 32 криптографически засеянных, свободных от блокировок сегмента памяти. Если запись истекает, оставаясь популярной, sdproxy запускает фоновую предвыборку, чтобы ваши устройства никогда не замечали промах кеша. Он полностью поддерживает RFC 8767 Stale-Serving.

Знает вашу локальную сеть

Укажите ему на ваши файлы аренды DHCP и /etc/hosts, и он будет отвечать на локальные поиски имён (ваш NAS, ваш принтер, ваш Pi), не беспокоя вышестоящий резолвер. Работает с dnsmasq, ISC DHCP, Kea и odhcpd.

Маршрутизирует разные устройства по-разному

Сопоставьте идентичность устройства с другой группой вышестоящих резолверов или родительским профилем.

• Идентификаторы: точный MAC, glob-маскирование MAC, IP / CIDR, ASN (Autonomous System Number через IPinfo), имя клиента, TLS SNI и HTTP DoH-пути.
• Мгновенные синкхолы: Привяжите явный код возврата DNS (RCODE: REFUSED, NXDOMAIN) непосредственно к правилу маршрутизации для мгновенного карантина клиента.

Родительский контроль — для каждого ребёнка, для каждой категории

Настройте профиль для каждого ребёнка, назначьте их устройства и настройте:

• Расписания — разные часы для учебных дней и выходных.
• Бюджеты времени — накопительное отслеживание по минутам. 2 часа всего, с подлимитами (1 час игры, 30 минут соцсети).
• Блокировки категорий — динамически загружаются из публичных репозиториев (uBlock, hosts или сырые списки доменов).
• Отслеживание состояния: Учёт времени работает через DNS heartbeat TTL и сохраняет снимки на диск, чтобы пережить перезагрузки.

Веб-панель администратора

Опциональный, защищённый паролем браузерный интерфейс для живых операций.

• Мгновенно переключайте группу устройств в ALLOW (шлюз нараспашку), BLOCK (отрезать интернет), FREE (приостановить лимиты) или LOG (режим аудита).
• Просматривайте живые потоковые логи запросов и 24-часовые графики производительности на кольцевом буфере.

Защищает от DNS Rebinding

Отбрасывает любой ответ вышестоящего сервера, содержащий приватные или bogon IP (RFC1918, loopback, ULA), возвращая NXDOMAIN, чтобы предотвратить Server-Side Request Forgery (SSRF) и атаки с разворотом браузера.

Быстрый старт

Требуется Go 1.25+. Без CGo, без внешних библиотек.

Минимальная конфигурация

Сборка для вашего роутера

Флаги -s -w удаляют отладочные символы — экономит 30-40% размера бинарника, что важно на небольшом флеш-хранилище.

Конфигурация

Всё живёт в одном YAML-файле. full_reference_config.yaml в этом репозитории документирует каждую опцию прямо внутри — этот файл и есть руководство. Скопируйте его, уберите ненужное, настройте остальное.

Вывод логов