NetForge per Svogliati

🧠 La storia in 30 secondi

Nasce da un'esigenza concreta: ogni audit di sicurezza è un rituale ripetitivo di 10-15 tool diversi, ognuno con la sua CLI, il suo output, le sue flag impronunciabili. SSL Labs per il TLS, dig per il DNS, testssl.sh per i cipher, nmap per le porte, un sito online per gli header, un altro per SPF/DKIM/DMARC, e poi copi-incolli tutto in un Word con screenshot sfocati.

NetForge riunisce tutto in una dashboard web locale: apri il browser, digiti il target, premi il pulsante. Full audit con score A-F in 2 minuti. Report PDF pronto da consegnare al cliente. Zero dati mandati a terzi, zero account, zero cloud.

📧 La verità sui tool online

I tool gratuiti online sono comodi finché stai controllando il sito del panettiere. Per l'infrastruttura aziendale, cominciano i problemi:

• I target finiscono in cache pubbliche: SSL Labs indica pubblicamente gli host scansionati, alcuni tool mostrano i risultati recenti per SEO.
• I generatori VPN online vedono le tue chiavi: ne hai trovato uno che "genera in locale via JavaScript"? Bene, ti fidi di 15 KB di codice minificato? Davvero?
• Rate limit: oltre un certo numero di query vai in coda. Se stai auditando un /24 aziendale, ti serve domani.
• Niente GDPR: se analizzi un dominio che gestisce dati personali, farlo transitare da un SaaS fuori UE è una scelta, non un caso.

🎯 Come funziona

Digiti un dominio o un IP. Selezioni quali moduli includere (default: tutti). Premi Avvia audit. In parallelo parte la raffica:

📊 Lo score A-F è l'unica cosa che il manager legge

Ogni modulo riceve un grade:

A B C D F

Poi c'è uno score globale, una barra per modulo, e il dettaglio dei findings con il fix. Il report PDF include tutto questo con il tuo logo e il nome del cliente. Il manager legge la prima pagina, l'auditor legge tutto il resto.

🛠️ Cosa c'è nel pannello firewall

• Analizzatore: incolli iptables-save, ip6tables-save o ipset list, NetForge ti spiega ogni regola in italiano.
• Builder interattivo: costruisci regole iptables con 16 match extensions, preview live del comando.
• Builder nftables: stessa cosa per il formato moderno.
• Convertitore: iptables ↔ nftables bidirezionale. Utile quando migri finalmente dal 2001.
• Audit di sicurezza: 19 check automatici sul ruleset, score 0-100 con raccomandazioni.
• Rilevatore conflitti: regole shadowed, irraggiungibili, duplicate, contraddittorie.
• Simulatore: dato un pacchetto (IP sorgente/dest, porta, protocollo), simula il percorso nelle catene con NAT/DNAT.
• Scanner nmap integrato: scan prima/dopo con confronto. Sapere se hai davvero chiuso la porta.
• Template: 9 configurazioni pronte (web server, gateway, Docker host, VPN gateway, mail server).

🔑 WireGuard — tre modalità

📡 OpenVPN Generator — PKI completa

OpenVPN richiede una PKI (CA, cert server, cert client). Farla a mano con easy-rsa vuol dire ricordarsi 15 comandi nell'ordine giusto. NetForge la genera con un form:

• CA root generata al volo, scaricabile.
• Cert server + chiave, con SAN e key usage corretti.
• Cert client, uno per ogni utente che dichiari.
• tls-auth (o tls-crypt) abilitato di default.
• .ovpn inline: un unico file per client con tutto dentro (cert, chiave, CA, tls-auth). Lo mandi via email e l'utente fa doppio click.

🔎 Audit config esistenti

Hai già un .ovpn o una wg0.conf? Incollala nel pannello Audit:

• OpenVPN: 13 check (cipher obsoleto, auth debole, mancanza tls-auth/crypt, compressione VORACLE, TLS version, remote-cert-tls, potenziale DNS leak).
• WireGuard: verifica chiavi, DNS leak, MTU, PostUp/PostDown, AllowedIPs (il classico 0.0.0.0/0 non voluto), PresharedKey, PersistentKeepalive.

⚙️ SSL Config Generator

Bonus: genera la configurazione SSL/TLS per nginx, Apache, HAProxy, Lighttpd, basata sulle linee guida Mozilla. Due profili: Modern (TLS 1.3 only) e Intermediate (TLS 1.2+1.3). Include HSTS e OCSP Stapling se li vuoi. Niente Old/Legacy — NetForge è opinionato, e sbarrare TLS 1.0 è un'opinione ragionevole nel 2026.

📡 Cos'è RPZ e perché ti salva

RPZ (Response Policy Zone) è il meccanismo di BIND per riscrivere o bloccare risposte DNS. In pratica: gestisci una blocklist a livello di resolver. Il browser del dipendente prova a risolvere malwareurl.tld, il tuo DNS risponde NXDOMAIN, e il malware non si scarica mai. Niente client agent, niente proxy, niente magia.

Il problema storico è scrivere la config BIND: zone, view, policy, aggiornamenti feed, cron. NetForge lo fa con un form e ti dà un tarball pronto da scompattare.

📦 Feed RPZ inclusi

• URLhaus (abuse.ch) — malware e botnet attivi, aggiornato in tempo reale.
• Hagezi Multi / TIF — blocklist consolidata, bassissimo tasso di falsi positivi.
• OISD Big — blocklist generalista molto ampia.
• Plus: whitelist (passthru in testa, prevale sempre) e blacklist custom (la tua lista di domini vietati aziendali).

🛠️ Cosa genera

• Struttura directory BIND9 Debian-style (/etc/bind/, /var/lib/bind/).
• named.conf, zone RPZ, view se serve split-horizon.
• update-rpz.sh — script di aggiornamento feed con cron incluso.
• setup-bind.sh — installer che chiede solo conferma.
• Warning in UI: gli script sovrascrivono la config esistente, usali solo su prima installazione o in macchina fresca.

🌎 Debian 13

Aggiungi il repository APT, poi:

sudo apt update
sudo apt install netforge
sudo systemctl enable --now netforge

Apri http://localhost:9191 nel browser. Il servizio gira con utente dedicato netforge sulla porta 9191. Aggiornamenti automatici con unattended-upgrades se lo tieni attivo.

🛡️ Security by design — non è marketing, è nel pacchetto

• Zero root: il servizio gira con utente dedicato netforge. Le capabilities Linux (CAP_NET_RAW, CAP_NET_ADMIN) sostituiscono sudo.
• Profilo AppArmor incluso. Il processo può fare esattamente quello che deve, nient'altro. aa-status per verificarlo.
• Cookie sessione: HttpOnly, SameSite=Lax, Secure se abiliti HTTPS.
• Nessun database: stateless. Niente DB da patchare, niente backup, niente schema migration. I dati che vedi sono quelli che stai analizzando ora.
• Binario compilato con Nuitka: no .py in giro, no dipendenze Python da patchare, no pip install notturni.

🔍 Comandi di analisi

⚙️ Comandi di gestione

🎯 Flag globali

• --json — output JSON (per jq e pipe a script).
• --lang it|en — lingua output (default it).
• --db <nome> — per update, quali DB aggiornare (se omesso, tutti).

🚀 Exit code — utili nelle pipeline

Questo rende la CLI drop-in in qualsiasi pipeline CI/CD: netforge ssl prod.example.com || notify, netforge audit staging.example.com --json | jq '.score', il classico.

🔥 Esempi concreti

# ogni notte: alza errore se qualche TLS è rotto
netforge ssl prod.example.com || mail -s "TLS warning" ops@example.com

# una riga per dominio nel file 'domini.txt'
while read d; do
    netforge audit "$d" --json > "reports/$d.json"
done < domini.txt

netforge audit example.com --json | jq '{score, grade, findings: [.modules[].grade]}'

netforge update --db cve oui