Beta — provato su Debian 12 e 13, segnalazioni benvenute

Il pannello che tiene i tuoi siti al sicuro.

Pannello nginx self-hosted per Debian 12 e 13, pensato per VPS piccole, Raspberry Pi 4/5 e homelab Proxmox. Firewall in uscita per sito, filtro Squid SNI, pannello mai esposto — tutto da un pannello solo, e tutto con file che puoi aprire e leggere.

Installa arx Vedi lo stack

Gratis per uso personale e non-commerciale — homelab, studio, fai-da-te. L'uso commerciale (clienti paganti, produzione a scopo di lucro) richiede una licenza NetForge attiva — vedi i termini. Telemetry anonima stile Brave, opt-out documentato.

Il pannello in 45 secondi

Perché arx

⛨

Sicuro by default

Isolamento stretto dei siti (mode 0750 / 0640 owner:owner), firewall per-uid, default-deny in uscita. Niente "abilita tutto e poi vediamo". Ogni livello è opt-in e ispezionabile.

⌨

Non è una scatola nera

Ogni config nginx e FPM che arx genera vive in /srv/arx/ ed è tua da leggere. Drift detection ti avvisa quando modifichi a mano e ti offre "accetta la tua modifica come nuova baseline" — non sovrascrive silenziosamente. CLI per ogni azione della UI.

⌬

Pi e homelab di prima classe

Niente Docker. Memoria-consapevole: le feature opzionali mostrano la stima di RAM prima di attivarle. Spedito come .deb autocontenuto per Debian 12 e 13. Template Proxmox LXC in arrivo.

Come una richiesta attraversa arx

Ogni hit di un visitatore e ogni chiamata in uscita da un sito passano dalla stessa pipeline. Due lane — ingresso (visitatore / admin) e uscita (il sito che cerca il mondo). Ogni riquadro con bordo blu è un checkpoint di sicurezza che controlli tu.

Flusso dati arx: il traffico visitatore entra da nftables INPUT, si dirama verso nginx/panel/ssh; nginx parla con PHP-FPM; il traffico in uscita di PHP-FPM passa per nftables OUTPUT NAT, viene rediretto a Squid (SNI peek+splice), l'host esterno è raggiunto solo se in allowlist del sito.

Lo stack scelto

nginxweb server

Sury PHPFPM multi-versione

Squidpeek & splice SNI

nftablesfiltro in uscita per sito

Let's EncryptSSL automatico

GoAccessstatistiche per-sito

Debian 12 e 13unico target

Difesa in profondità, layer per layer

nftables — filtro in uscita per sito

Ogni utente di sito ottiene una catena dedicata che fa default-reject a meno che un IP/CIDR di destinazione sia in allowlist: un sito bucato non riesce a chiamare casa. Caricato a ogni avvio, ricaricato entro un minuto se qualcosa svuota le regole. L'ingresso è tuo — NetForge ha un template per ogni combinazione di arx, nomina e missus — e arx te lo mostra in sola lettura.

Squid — filtro SNI trasparente

Quando attivo, nftables redirige ogni 80/443 in uscita dei siti verso una porta Squid dedicata per-sito. Squid "peeka" il TLS ClientHello, fa splice se la destinazione è in allowlist, rifiuta altrimenti. Niente MitM: i certificati non vengono mai terminati, quindi anche le app che fanno cert pinning continuano a funzionare.