ВНИМАНИЕ: Лицензия изменилась по сравнению с версией CMD (GPLv3). Полная версия (текущая ветка) распространяется под лицензией AGPLv3.

Обзор

DNXFIREWALL™ — это оптимизированный/высокопроизводительный набор приложений и сервисов, позволяющий превратить стандартную систему Linux в зональный межсетевой экран нового поколения. Основные модули безопасности имеют ПРЯМОЕ/ЛИНЕЙНОЕ управление всеми соединениями, потоками и сообщениями, проходящими через систему.

                       ------------------------------------------------------
                       | (исходящий)                                        |
                       |                                                    V
                       |                                 --------------> [dns proxy (*1)] --------
                       |                                 | (исходящий)                           |
                       |          (двунаправленный)       |                                       V
TCP/IP stack ----> [cfirewall] -------------------> [ip proxy] ------------------------> ((*вердикт пакета*)) ----> TCP/IP stack
                      |  |                               |                                       ^    ^
                      |  |                               | (входящий)                             |    |
                      |  |                               --------------> [ids/ips (*2)] ----------    |
                      |  |                                                  ^                         |
                      |  | (входящий)                                        |                         |
                      |  ----------------------------------------------------                         |
                      |                                                                               |
                      ---------------------------------------------------------------------------------

(*1) DNS-прокси специально разработан для проверки DNS-нагрузки, проходящей между внутренними сетями или из локальной сети в интернет.
(*2) IDS/IPS специально разработана (по крайней мере, на данный момент) для проверки только трафика из интернета в локальные сети.
- Это решение основано на том факте, что 99,99% (обобщение) угроз в этой области исходят из интернета.

В будущем будет создано видео о низкоуровневой архитектуре и системном дизайне, чтобы показать, как это возможно с помощью чистого Python.

Включенные функции

НОВОЕ: sqlite3 теперь используется в качестве базы данных по умолчанию (для упрощения развертывания). postgresql по-прежнему присутствует на серверной стороне и будет доступен для включения во время развертывания системы в будущем выпуске.

НОВОЕ: Утилита автоматического развертывания (autoloader) теперь работает. Ее следует использовать для развертывания системы на любом совместимом дистрибутиве. Подробнее см. в списке совместимых дистрибутивов.

НОВОЕ: Полные зональные правила брандмауэра (источник и назначение) и профили безопасности для каждого правила.

Пользовательский обработчик пакетов
- реализован на C
- инспекция пакетов с сохранением состояния или без состояния
- сложные решения по пакетам (отложить действие пакета на модули безопасности)
Прокси DNS (исходящий или между локальными сетями)
- блокировка на основе категорий (общие, TLD, сопоставление подстрок)
- добавленные пользователем белые/черные списки или создание пользовательских общих категорий
DNS-сервер (недавно отделен от DNS-прокси, но разделяет ресурсы процесса)
- нативное преобразование DNS через TLS с опциональным резервным копированием UDP
- локальный DNS-сервер (авторитативный через манипуляцию пакетами)
- автоматическое переключение при сбое ПО
- 2 уровня кэширования записей
Прокси IP (прозрачный) двунаправленный
- фильтрация хостов на основе репутации (обнаружение реализовано на C)
- геолокационный фильтр (блокировка стран, обнаружение реализовано на C)
IPS/IDS (входящий)
- обнаружение/предотвращение отказа в обслуживании
- обнаружение/предотвращение сканирования портов
Легковесный DHCP-сервер (родное ПО)
- резервирование IP
- управление на уровне интерфейса (включение/отключение)
- интеграция с оповещениями безопасности
Общие службы
- обработка журналов
- управление базами данных
- клиент syslog (UDP, TCP, TLS) ВАЖНО: в настоящее время непригоден для использования из-за множества внутренних изменений API, нарушающих совместимость. Эта служба не будет включена по умолчанию.
Дополнительные функции
- IPv6 отключен
- предотвращение обхода DNS-прокси
  - DNS через HTTPS ограничен
  - DNS через TCP ограничен
  - DNS через TLS ограничен
- Современный веб-интерфейс для администрирования
- пользовательская утилита командной оболочки для обслуживания системы
  - включает встроенный обновлятор системы (dnxfirewall) для обновлений в один клик

Развертывание (с использованием autoloader)

выберите дистрибутив Linux из списка совместимых (см. ниже)
установите Linux на физическое оборудование или виртуальную машину

2а. требуется (3) интерфейса: WAN, LAN, DMZ

2б. создайте пользователя "dnx" во время установки ОС или после ее завершения

2в. установите и сделайте python3.8 версией по умолчанию (если применимо)
выполните обновление системы
установите git
клонируйте https://github.com/dowrighttv/dnxfirewall.git в домашний каталог пользователя "dnx" (/home/dnx)
войдите в систему как пользователь "dnx" и выполните команду: sudo python3 dnxfirewall/dnx_run.py cli autoloader
следуйте инструкциям, чтобы связать физические интерфейсы со встроенными зонами dnxfirewall
после завершения утилиты перезагрузите систему и перейдите по указанному URL

Совместимые дистрибутивы Linux с autoloader dnxfirewall

Дистрибутивы на основе Debian
- Ядро Linux >= 2.6.31
- Python 3.8+
- netplan (менеджер интерфейсов/сетей Ubuntu)

Внешние участники

afallenhope — веб-дизайн, UX и шаблоны -> https://github.com/afallenhope

Внешние источники кода

https://www.ip2location.com/free/visitor-blocker | наборы данных геолокационной фильтрации (привязка IP-адресов по странам)

https://gitlab.com/ZeroDot1/CoinBlockerLists | набор данных хостов криптомайнеров

только для psql: https://github.com/tlocke/pg8000 | чистый адаптер PostgreSQL на Python

dnxfirewall

Популярное