FencePost

Многохостовый дашборд для брандмауэра UFW. Подключается к Linux-хостам через SSH, анализирует правила брандмауэра и прослушиваемые порты, объясняет всё понятным языком и указывает на пробелы в безопасности.

Возможности

• Обзор нескольких хостов -- просматривайте статус UFW, политики по умолчанию и активные службы на всех хостах с одного взгляда
• Понятные объяснения -- каждое правило брандмауэра преобразуется в читаемые описания с именами VLAN и служб
• Выявление пробелов -- находит прослушиваемые порты, для которых нет подходящего разрешающего правила UFW, с разделением на внешнюю и локальную доступность
• Диагностика подключений -- прослеживайте IP-источник + порт назначения по цепочке правил, чтобы узнать, будет ли трафик разрешён, заблокирован или отклонён
• Обнаружение изменений -- сравнивает текущее состояние с последним снимком и отправляет события (добавленные/удалённые правила, переключение UFW, недоступные хосты) в вебхук
• С учётом Docker -- помечает Docker-хосты, где iptables может обходить UFW

Скриншоты

Страницы

Архитектура

Browser --> Cloudflare Tunnel --> Reverse Proxy --> FencePost (:8890)
  FastAPI container
    |-- SSH --> Host 1 (ufw status, ss -tlnp)
    |-- SSH --> Host 2
    |-- SSH --> Host N
    '-- POST --> Notification webhook

FencePost работает в режиме только для чтения -- он никогда не изменяет правила брандмауэра, а только сообщает о них.

Быстрый старт

Предварительные требования

• Python 3.12+ (локальная разработка) или Docker (продакшн)
• Пара SSH-ключей (ed25519) с публичным ключом, развёрнутым на целевых хостах
• Запись в sudoers на каждом хосте для SSH-пользователя:
  root@kitploit:~

  <user> ALL=(ALL) NOPASSWD: /usr/sbin/ufw status verbose, /usr/sbin/ufw status numbered, /usr/bin/ss -tlnp
  

1. Клонируйте и настройте

git clone <repo-url> && cd fencepost

# Add your SSH key
cp ~/.ssh/your_key ssh/id_ed25519
chmod 600 ssh/id_ed25519

# Create your environment file from the template
cp .env.example .env
# Edit .env with real credentials

2. Отредактируйте config.yaml

timezone: Australia/Melbourne

hosts:
  - name: My Server
    hostname: 192.168.1.10
    ssh_user: deploy
    ssh_port: 22
    is_docker_host: false

networks:
  "192.168.1.0/24": "LAN"

3. Запустите

Локальная разработка

python -m venv .venv
source .venv/bin/activate
pip install -r requirements.txt

# Load env vars (bash/zsh)
export $(grep -v '^#' .env | xargs)

uvicorn app.main:app --reload --port 8890

Откройте http://localhost:8890.

Примечание: локальный режим использует SSH-ключ по пути, указанному в config.yaml (ssh.key_path). Для локальной разработки вы можете переопределить его, указав ваш локальный ssh/id_ed25519:

ssh:
  key_path: ssh/id_ed25519
  timeout: 10

Docker (продакшн)

docker compose up -d --build

Откройте http://localhost:8890. Контейнер автоматически читает учётные данные из .env через compose.yaml.

Конфигурация

config.yaml

Переменные окружения (.env)

Учётные данные хранятся в .env (внесён в .gitignore) и используются через compose.yaml. Никогда не коммитьте секреты в репозиторий.

Стек

• Бэкенд: Python 3.12 / FastAPI / Uvicorn
• SSH: Paramiko с аутентификацией по ключу ed25519
• Шаблоны: Jinja2 (серверный рендеринг, без JS-фреймворков)
• HTTP-клиент: httpx (уведомления через вебхук)
• Стили: пользовательский CSS, тёмная тема, без фреймворков
• Шрифты: DM Mono (для данных), Anybody (для заголовков)

Структура проекта

app/
  main.py           # FastAPI routes and auth
  models.py         # HostFirewallState, UFWRule, ListeningPort dataclasses
  parser.py         # Parses ufw status and ss output
  explainer.py      # Translates rules to plain English
  diagnose.py       # Connection diagnostic engine
  gap_detector.py   # Finds uncovered listening ports
  ssh_client.py     # Paramiko wrapper, parallel host fetching
  eventfeed.py      # Change detection and webhook posting
  templates/
    base.html       # Layout, CSS, navigation
    overview.html   # Host dashboard grid
    host_detail.html # Per-host tabbed detail view
    diagnose.html   # Connection diagnostic form and results
    login.html      # Authentication page
config.yaml         # Host definitions, VLANs, devices, timezone
compose.yaml        # Docker Compose service definition
Dockerfile          # Python 3.12 slim image
.env.example        # Template for environment variables
ssh/                # SSH key directory (key not committed)
data/               # Runtime state (last_state.json, not committed)

Добавление хоста

1. Добавьте запись в config.yaml в раздел hosts:
2. Скопируйте публичный SSH-ключ на хост: ssh-copy-id -i ssh/id_ed25519.pub user@host
3. Создайте на хосте файл /etc/sudoers.d/fencepost с необходимыми правилами NOPASSWD
4. Пересоберите: docker compose up -d --build

Уведомления

При настройке в config.yaml с переменной окружения NOTIFICATIONS_API_KEY FencePost отправляет события об изменениях при каждом обновлении дашборда:

• UFW активирован / деактивирован
• Правила добавлены / удалены (с деталями правил)
• Новые непокрытые внешние порты
• Хост стал недоступен / восстановился

События содержат ключи идемпотентности для предотвращения дубликатов.

Лицензия

MIT