Implant Documentação 8de3f8d

Modulo Network

No check, o modulo network hoje faz apenas uma verificacao basica e nao altera nada:

implant check --modules network

As configuracoes de rede do Implant ficam em outros lugares:

  • BBR + fq, ip_forward, rp_filter e demais parametros de kernel: modulo Hardening, aplicados pelo check --auto-fix ou por `implant sysctl`.
  • Firewall, bloqueios e VPN: comandos dedicados, todos opt-in (listados abaixo).

Comandos de rede

Comando O que faz
`firewall` UFW: liberar/bloquear portas e IPs, rate-limit nativo, status
`firewall audit` Auditoria somente leitura: policies, ganchos do implant, regras cruas e persistencia no boot
`iptables` netfilter direto: listar, snapshot/restore (inclui ipsets e IPv6), auditoria de regras de LOG
`firewall-restore` Unit que restaura os ipsets no boot, com confirmacao e guarda de boot
`rate-limit` Rate-limit por porta (connlimit + hashlimit), blocklist e whitelist em ipset, inclusive para portas do Docker
`ban` / `unban` Banir IP/CIDR no ipset central (INPUT + DOCKER-USER) e desfazer em todos os mecanismos
`auto-ban` Daemon que bane IPs ofensivos detectados em sinais de log
`feed-block` Blocklist externa de redes hostis (padrao Spamhaus DROP) em ipset, com timer semanal
`geo-block` Bloqueio de trafego por pais
`harden-network` Pack estendido opt-in: IPv6, SYN flood, TIME_WAIT
`traefik-ratelimit` Rate-limit L7 por IP no Traefik (middleware implant-ratelimit@file, 429 antes do servico)
`wireguard` VPN WireGuard do servidor: instalacao, devices (.conf + QR) e porta UDP no firewall
`threat-status` Metricas vivas de ataque (conntrack, sockets, drops)

Precedencia das regras

Os ganchos do Implant na INPUT e na DOCKER-USER seguem uma ordem unica, calculada sobre as regras existentes:

WL (whitelist/allowlist)  >  BL (blocklist/ban)  >  FEED (feed-block)  >  GEO (geo-block)  >  RL (rate-limit)

Um IP isento (por exemplo via implant ssh-key --whitelist-ip) vale acima de um ban e do feed.

Sobrevivencia ao reboot

Os conjuntos de IPs (ipsets) vivem em memoria. Para que blocklist, whitelist, feed-block, geo-block e auto-ban voltem apos um reboot, instale a unit de restauracao:

implant firewall-restore install --confirm-timeout 10
implant firewall-restore confirm

O check reporta a falta dela no item Boot-survival do firewall do modulo Hardening.

BBR Congestion Control

Habilitado pelo modulo Hardening quando o kernel suporta:

net.core.default_qdisc = fq
net.ipv4.tcp_congestion_control = bbr