272 lines
9.9 KiB
Plaintext
272 lines
9.9 KiB
Plaintext
###############################################################################
|
||
# AdGuard Shield - Konfigurationsdatei
|
||
# Schutz vor übermäßigen DNS-Anfragen einzelner Clients
|
||
###############################################################################
|
||
|
||
# --- AdGuard Home API Einstellungen ---
|
||
# URL der AdGuard Home Web-Oberfläche (ohne trailing slash)
|
||
ADGUARD_URL="https://dns1.domain.com"
|
||
|
||
# AdGuard Home Zugangsdaten (Web-UI Login)
|
||
ADGUARD_USER="admin"
|
||
ADGUARD_PASS='changeme'
|
||
|
||
# --- Rate-Limit Einstellungen ---
|
||
# Maximale Anfragen pro Domain pro Client innerhalb des Zeitfensters
|
||
RATE_LIMIT_MAX_REQUESTS=30
|
||
|
||
# Zeitfenster in Sekunden (60 = 1 Minute)
|
||
RATE_LIMIT_WINDOW=60
|
||
|
||
# Wie oft das Script die Logs prüft (in Sekunden)
|
||
CHECK_INTERVAL=10
|
||
|
||
# --- Subdomain-Flood-Erkennung (Random Subdomain Attack) ---
|
||
# Erkennt Bots/Clients die massenhaft zufällige Subdomains einer Domain abfragen
|
||
# Beispiel: abc123.microsoft.com, xyz456.microsoft.com, ...
|
||
# Dabei wird pro Client gezählt, wie viele EINDEUTIGE Subdomains einer
|
||
# Basisdomain (z.B. microsoft.com) im Zeitfenster aufgerufen werden.
|
||
|
||
# Subdomain-Flood-Erkennung aktivieren
|
||
SUBDOMAIN_FLOOD_ENABLED=true
|
||
|
||
# Maximale Anzahl eindeutiger Subdomains pro Basisdomain pro Client im Zeitfenster
|
||
# Beispiel: 50 = ein Client darf max. 50 verschiedene Subdomains von microsoft.com abfragen
|
||
SUBDOMAIN_FLOOD_MAX_UNIQUE=50
|
||
|
||
# Zeitfenster in Sekunden für die Subdomain-Flood-Erkennung (60 = 1 Minute)
|
||
SUBDOMAIN_FLOOD_WINDOW=60
|
||
|
||
# --- Sperr-Einstellungen ---
|
||
# Wie lange ein Client gesperrt wird (in Sekunden, 3600 = 1 Stunde)
|
||
BAN_DURATION=3600
|
||
|
||
# iptables Chain-Name für die Sperren
|
||
IPTABLES_CHAIN="ADGUARD_SHIELD"
|
||
|
||
# Welche Ports gesperrt werden sollen (IPv4 + IPv6)
|
||
# Port 53 = DNS (UDP + TCP)
|
||
# Port 443 = DNS-over-HTTPS (DoH)
|
||
# Port 853 = DNS-over-TLS (tls://...:853) / DNS-over-QUIC (quic://...:853)
|
||
# Hinweis: Das verwendete Protokoll (DNS/DoH/DoT/DoQ) wird automatisch
|
||
# aus der AdGuard Home API erkannt und in Logs/History angezeigt.
|
||
BLOCKED_PORTS="53 443 853"
|
||
|
||
# --- Whitelist ---
|
||
# IP-Adressen die NIEMALS gesperrt werden (kommagetrennt)
|
||
# Lokale Netze und wichtige Server hier eintragen
|
||
WHITELIST="127.0.0.1,::1"
|
||
|
||
# --- Logging ---
|
||
# Log-Datei Pfad
|
||
LOG_FILE="/var/log/adguard-shield.log"
|
||
|
||
# Log-Level: DEBUG, INFO, WARN, ERROR
|
||
LOG_LEVEL="INFO"
|
||
|
||
# Maximale Größe der Log-Datei in MB (danach wird rotiert)
|
||
LOG_MAX_SIZE_MB=50
|
||
|
||
# Ban-History Datei (protokolliert alle Sperren & Entsperrungen dauerhaft)
|
||
BAN_HISTORY_FILE="/var/log/adguard-shield-bans.log"
|
||
|
||
# Maximale Aufbewahrungsdauer der Ban-History in Tagen
|
||
# 0 = unbegrenzt (niemals automatisch löschen)
|
||
# Beispiel: 90 = Einträge älter als 90 Tage werden beim nächsten Report entfernt
|
||
BAN_HISTORY_RETENTION_DAYS=0
|
||
|
||
# --- Benachrichtigungen (optional) ---
|
||
# Aktiviert Benachrichtigungen bei Sperren/Entsperrungen
|
||
NOTIFY_ENABLED=false
|
||
|
||
# Benachrichtigungs-Typ: "ntfy", "discord", "slack", "gotify", "generic"
|
||
NOTIFY_TYPE="ntfy"
|
||
|
||
# Webhook-URL (nur für discord, slack, gotify, generic – bei ntfy nicht nötig)
|
||
# Discord: https://discord.com/api/webhooks/xxx/yyy
|
||
# Gotify: https://gotify.example.com/message?token=xxx
|
||
NOTIFY_WEBHOOK_URL=""
|
||
|
||
# --- Ntfy Einstellungen (nur bei NOTIFY_TYPE="ntfy") ---
|
||
# Server-URL der Ntfy-Instanz (ohne trailing slash)
|
||
NTFY_SERVER_URL="https://ntfy.sh"
|
||
|
||
# Topic-Name für die Benachrichtigungen
|
||
NTFY_TOPIC=""
|
||
|
||
# Optionaler Access-Token (leer lassen wenn nicht benötigt)
|
||
NTFY_TOKEN=""
|
||
|
||
# Priorität der Ntfy-Nachrichten (1=min, 3=default, 5=max)
|
||
NTFY_PRIORITY="4"
|
||
|
||
# --- E-Mail Report (optional) ---
|
||
# Regelmäßiger Statistik-Report per E-Mail
|
||
# Voraussetzung: Ein funktionierender Mail-Transport (z.B. msmtp)
|
||
# Anleitung für msmtp: https://www.cleveradmin.de/blog/2024/12/linux-einfach-emails-versenden-mit-msmtp/
|
||
REPORT_ENABLED=false
|
||
|
||
# Report-Intervall: "daily", "weekly", "biweekly", "monthly"
|
||
# daily = täglich um die konfigurierte Uhrzeit
|
||
# weekly = wöchentlich am Montag
|
||
# biweekly = alle zwei Wochen am Montag
|
||
# monthly = monatlich am 1. des Monats
|
||
REPORT_INTERVAL="weekly"
|
||
|
||
# Uhrzeit für den Report-Versand (Format: HH:MM, 24h)
|
||
REPORT_TIME="08:00"
|
||
|
||
# E-Mail-Empfänger
|
||
REPORT_EMAIL_TO="admin@example.com"
|
||
|
||
# E-Mail-Absender
|
||
REPORT_EMAIL_FROM="adguard-shield@example.com"
|
||
|
||
# E-Mail-Format: "html" oder "txt"
|
||
REPORT_FORMAT="html"
|
||
|
||
# Mail-Befehl (z.B. "msmtp", "sendmail", "mail")
|
||
REPORT_MAIL_CMD="msmtp"
|
||
|
||
# Zeitraum für "Aktivster Tag" im Report (in Tagen)
|
||
# Bestimmt, über wie viele Tage zurück der aktivste Tag ermittelt wird.
|
||
# 30 = Aktivster Tag der letzten 30 Tage (empfohlen)
|
||
# 0 = Nur innerhalb des Berichtszeitraums (altes Verhalten)
|
||
REPORT_BUSIEST_DAY_RANGE=30
|
||
|
||
# --- Externe Whitelist (optional) ---
|
||
# Ermöglicht das Einbinden externer Whitelist-Dateien mit Domains/IPs.
|
||
# Domains werden regelmäßig per DNS aufgelöst (ideal für dynamische IPs/DynDNS).
|
||
EXTERNAL_WHITELIST_ENABLED=false
|
||
|
||
# URL(s) zu externen Textdateien mit Domains/IPs (eine pro Zeile)
|
||
# Mehrere URLs kommagetrennt angeben
|
||
# Beispiel: "https://example.com/whitelist.txt,https://other.com/trusted-hosts.txt"
|
||
EXTERNAL_WHITELIST_URLS=""
|
||
|
||
# Wie oft die externe Whitelist geprüft und Domains neu aufgelöst werden (in Sekunden, 300 = 5 Minuten)
|
||
# Kürzere Intervalle empfohlen bei vielen DynDNS-Einträgen
|
||
EXTERNAL_WHITELIST_INTERVAL=300
|
||
|
||
# --- Externe Blocklist (optional) ---
|
||
# Aktiviert den externen Blocklist-Worker
|
||
EXTERNAL_BLOCKLIST_ENABLED=false
|
||
|
||
# URL(s) zu externen Textdateien mit IP-Adressen (eine IP pro Zeile)
|
||
# Mehrere URLs kommagetrennt angeben
|
||
# Beispiel: "https://example.com/blocklist.txt,https://other.com/bad-ips.txt"
|
||
EXTERNAL_BLOCKLIST_URLS=""
|
||
|
||
# Wie oft die externe Blocklist geprüft wird (in Sekunden, 300 = 5 Minuten)
|
||
EXTERNAL_BLOCKLIST_INTERVAL=300
|
||
|
||
# Sperrdauer für externe Blocklist-IPs in Sekunden (0 = permanent bis IP aus Liste entfernt)
|
||
EXTERNAL_BLOCKLIST_BAN_DURATION=0
|
||
|
||
# Automatisch IPs entsperren die aus der externen Liste entfernt wurden?
|
||
EXTERNAL_BLOCKLIST_AUTO_UNBAN=true
|
||
|
||
# Benachrichtigungen bei Blocklist-Sperren senden?
|
||
# Bei Listen mit vielen IPs empfiehlt sich false, da sonst beim Sync
|
||
# hunderte Benachrichtigungen auf einmal verschickt werden.
|
||
EXTERNAL_BLOCKLIST_NOTIFY=false
|
||
|
||
# Lokaler Cache-Pfad für die heruntergeladene Blocklist
|
||
EXTERNAL_BLOCKLIST_CACHE_DIR="/var/lib/adguard-shield/external-blocklist"
|
||
|
||
# --- Progressive Sperren (Recidive) ---
|
||
# Wiederholungstäter werden stufenweise länger gesperrt (wie bei fail2ban)
|
||
# Aktiviert das progressive Sperrsystem
|
||
PROGRESSIVE_BAN_ENABLED=true
|
||
|
||
# Multiplikator pro Wiederholung (2 = Verdopplung der Sperrdauer)
|
||
# Stufe 1: BAN_DURATION × 1 (Standard-Sperrdauer)
|
||
# Stufe 2: BAN_DURATION × 2
|
||
# Stufe 3: BAN_DURATION × 4
|
||
# Stufe 4: BAN_DURATION × 8 ... usw.
|
||
PROGRESSIVE_BAN_MULTIPLIER=2
|
||
|
||
# Ab dieser Stufe wird die IP permanent gesperrt (0 = nie permanent sperren)
|
||
# Beispiel: 5 = nach dem 5. Vergehen wird die IP dauerhaft gesperrt
|
||
PROGRESSIVE_BAN_MAX_LEVEL=5
|
||
|
||
# Nach wie vielen Sekunden ohne erneutes Vergehen wird der Zähler zurückgesetzt
|
||
# (86400 = 24 Stunden, 604800 = 7 Tage)
|
||
PROGRESSIVE_BAN_RESET_AFTER=86400
|
||
|
||
# --- AbuseIPDB Reporting (optional) ---
|
||
# Meldet permanent gesperrte IPs automatisch an AbuseIPDB
|
||
# Nur bei PERMANENTEN Sperren wird ein Report gesendet.
|
||
ABUSEIPDB_ENABLED=false
|
||
|
||
# AbuseIPDB API-Key (https://www.abuseipdb.com/account/api)
|
||
ABUSEIPDB_API_KEY=""
|
||
|
||
# Kategorien für den Report (kommagetrennt)
|
||
# 4 = DDoS Attack
|
||
# Siehe: https://www.abuseipdb.com/categories
|
||
ABUSEIPDB_CATEGORIES="4"
|
||
|
||
# --- GeoIP-basierte Länderfilter (optional) ---
|
||
# Sperrt oder erlaubt DNS-Anfragen basierend auf dem Herkunftsland der Client-IP.
|
||
# Alle Lookups erfolgen LOKAL über eine Datenbank – es werden keine Online-API-Calls gemacht.
|
||
#
|
||
# Einfachster Weg (empfohlen):
|
||
# sudo apt install geoip-bin geoip-database
|
||
# → Damit funktioniert GeoIP sofort, ohne Account oder API-Key.
|
||
#
|
||
# Für genauere/aktuellere Daten (optional):
|
||
# Kostenlosen MaxMind-Account erstellen (https://www.maxmind.com/en/geolite2/signup)
|
||
# und License-Key unter GEOIP_LICENSE_KEY eintragen. Die GeoLite2-Datenbank
|
||
# wird dann automatisch heruntergeladen und alle 24 Stunden aktualisiert.
|
||
# Alternativ kann ein bereits vorhandener DB-Pfad über GEOIP_MMDB_PATH angegeben werden.
|
||
GEOIP_ENABLED=false
|
||
|
||
# Modus: "blocklist" = nur gelistete Länder sperren
|
||
# "allowlist" = nur gelistete Länder erlauben (alle anderen werden gesperrt)
|
||
GEOIP_MODE="blocklist"
|
||
|
||
# Kommagetrennte Liste von ISO 3166-1 Alpha-2 Ländercodes
|
||
# Blocklist-Modus: Diese Länder werden gesperrt
|
||
# Allowlist-Modus: NUR diese Länder werden erlaubt (Rest wird gesperrt)
|
||
# Beispiel: "CN,RU,KP,IR" oder "DE,AT,CH"
|
||
GEOIP_COUNTRIES=""
|
||
|
||
# Wie oft die GeoIP-Prüfung durchgeführt wird (in Sekunden, 0 = bei jedem Check-Intervall)
|
||
# Empfohlen: Gleicher Wert wie CHECK_INTERVAL oder höher
|
||
GEOIP_CHECK_INTERVAL=0
|
||
|
||
# Benachrichtigungen bei GeoIP-Sperren senden?
|
||
GEOIP_NOTIFY=true
|
||
|
||
# Lokale IPs und private Netze von GeoIP-Prüfung ausnehmen (empfohlen: true)
|
||
GEOIP_SKIP_PRIVATE=true
|
||
|
||
# MaxMind GeoLite2 License-Key (optional, für automatischen Download & Update)
|
||
# Kostenloser Account: https://www.maxmind.com/en/geolite2/signup
|
||
# License-Key erstellen: Account → Manage License Keys → Generate New License Key
|
||
# Wenn gesetzt, wird die GeoLite2-Country-Datenbank automatisch heruntergeladen
|
||
# und alle 24 Stunden aktualisiert. Die DB wird lokal gespeichert unter:
|
||
# <INSTALL_DIR>/geoip/GeoLite2-Country.mmdb
|
||
GEOIP_LICENSE_KEY=""
|
||
|
||
# Pfad zur MaxMind GeoLite2 .mmdb-Datenbank (optional)
|
||
# Wenn leer UND GEOIP_LICENSE_KEY gesetzt → automatischer Download (s.o.)
|
||
# Wenn leer UND GEOIP_LICENSE_KEY leer → Fallback auf geoiplookup (apt install geoip-bin)
|
||
# Wenn gesetzt → diese Datei wird direkt verwendet (kein automatischer Download)
|
||
# Beispiel: "/usr/share/GeoIP/GeoLite2-Country.mmdb"
|
||
GEOIP_MMDB_PATH=""
|
||
|
||
# --- Erweiterte Einstellungen ---
|
||
# Pfad zur State-Datei (speichert aktive Sperren)
|
||
STATE_DIR="/var/lib/adguard-shield"
|
||
|
||
# Pfad zum PID-File
|
||
PID_FILE="/var/run/adguard-shield.pid"
|
||
|
||
# Anzahl der API-Einträge die pro Abfrage geholt werden (max 5000)
|
||
API_QUERY_LIMIT=500
|
||
|
||
# Dry-Run Modus: true = nur loggen, nicht sperren (zum Testen)
|
||
DRY_RUN=false
|