The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Опубликована Linux-версия межсетевого экрана приложений Little Snitch

09.04.2026 21:48 (MSK)

Представлен первый выпуск Linux-версии межсетевого экрана приложений Little Snitch, пользующегося популярностью у пользователей платформы macOS. Little Snitch предоставляет графический интерфейс, позволяющий в интерактивном режиме отслеживать сетевую активность приложений и блокировать нежелательный сетевой трафик. Для инспектирования и блокирования трафика в Linux задействована подсистема eBPF. Загружаемые в ядро программы eBPF, библиотека функций и web-интерфейс распространяются под лицензией GPLv2. Фоновый процесс написан на Rust и распространяется под проприетарной лицензией, допускающей распространение и бесплатное использование.

Программа позволяет наглядно оценивать к каким хостам в данный момент обращаются приложения в системе, просматривать историю сетевой активности и отслеживать объём трафика. Возможно блокирование нежелательных соединений и подключение списков блокировки, как собственных, так и внешних списков, таких как oisd.nl, предназначенных для блокирования рекламы, отслеживающих сервисов, систем сбора телеметрии, фишинга и прочей нежелательной активности. Внешние списки могут автоматически обновляться. Блокировка производится на уровне IP-адресов, подсетей и доменных имён. Возможно создание белого списка приложений, которым разрешена сетевая активность.

Программа включается в себя загружаемый в ядро Linux BPF-обработчик и фоновый процесс littlesnitch. Управление производится через web-интерфейс, доступный при открытии в браузере страницы "http://localhost:3031/". Возможна работа с web-интерфейсом как с обособленным web-приложением (PWA - Progressive Web App). Поддерживается работа на системах с ядром Linux 6.12 и новее.

Дополнительно можно отметить, что существует открытый аналог Little Snitch для Linux - OpenSnitch, который позволяет в интерактивном режиме отслеживать сетевую активность приложений - при попытке установки приложениями сетевых соединений, не подпадающих под ранее установленные разрешения, OpenSnitch выводит пользователю диалог с предложением принять решение о продолжении сетевой операции или блокирования сетевой активности. Кристиан Старкйоханн (Christian Starkjohann), разработчик Linux-версии Little Snitch, отметил, что OpenSnitch не подошёл ему для решения задачи отслеживания сетевых соединения, устанавливаемых процессами, и блокировки соединений одним кликом.

  1. Главная ссылка к новости (https://news.ycombinator.com/i...)
  2. OpenNews: Доступны межсетевые экраны OpenSnitch 1.6.0 и firewalld 2.0
  3. OpenNews: В рамках проекта OpenSnitch развивается динамический межсетевой экран для Linux
  4. OpenNews: Опубликован межсетевой экран приложений Portmaster 1.0
  5. OpenNews: Выпуск интерактивного межсетевого экрана TinyWall 2.0
  6. OpenNews: Открыт код Douane, динамического межсетевого экрана для Linux
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/65178-littlesnitch
Ключевые слова: littlesnitch, firewall
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (47) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 23:18, 09/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –8 +/
    >для блокирования рекламы

    если это блокирование рекламных сетей и синхронный показ, то это будет висеть. Надо блокировать контент в доме.

     
  • 1.6, Аноним (6), 00:11, 10/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –10 +/
    Когда-то очень давно, когда я ещё пользовался Windows, то обязательно ставил подобные программы: Atguard, Outpost.
    А на Linux какой смысл? За кем следить? Всё равно я использую только программы из официального репозитария дистрибутива.
    Если есть подозрениия, то запускаю ss -tupa
     
     
  • 2.7, q (ok), 00:14, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +3 +/
    > За кем следить? Всё равно я использую только программы из официального репозитария дистрибутива.

    Ну например за программами вроде StarDict, которые отправляют содержимое твоего буфера обмена напрямую китайцам. Он в официальном репозитории дистрибутива, все как и положено. А еще помнится гениальный вклад Jia Tan в опенсорс тоже был во многих дистрибутивах.

     
     
  • 3.9, Аноним (9), 00:25, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • –6 +/
    Кто-то ещё пользуется офлайн переводчиками вместо гугл транслейта и нейронок?
     
     
  • 4.10, q (ok), 00:44, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Это не переводчик, а просмотрщик словарных статей. Словарные статьи могут идти из толкового словаря. А вообще, рекомендую тебе скачать примерно весь интернет: википедию через Kiwix, книги, оффлайн LLM, сериалы/музыку, карты мира и так далее. Будет что почитать/посмотреть во время неминуемого перманентного очебурнечивания интернета по белым спискам.
     
     
  • 5.28, Аноним (28), 07:06, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Это сколько же жёстких дисков/SSD надо?
     
     
  • 6.38, Аноним (-), 10:57, 10/04/2026 Скрыто ботом-модератором     [к модератору]
  • +1 +/
     
  • 5.29, Аноним (9), 08:05, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +3 +/
    В случае очебурнечивания, чтение Википодии - это последнее, о чем я буду думать.
     
  • 5.32, Аноним (32), 09:36, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > Kiwix, книги, оффлайн LLM, сериалы/музыку, карты мира

    Какой-то сомнительный спикок без игорей.

     
     
  • 6.34, EuPhobos (ok), 09:56, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Наверное думает, что Steam, святая святых, не посмеют вздёрнуть )
     
  • 4.55, Аоним (?), 17:55, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Мало того что оффлайн переводчик установил еще и бумажный словарь купил. Потому что гугл шантажирует отрубанием от своего словаря, если обрубаешь его IP сети.
     
     
  • 5.56, Аоним (?), 17:57, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Попробуй. Увлекательно. Отрубаешь одну подсеть - появляется другая. Отрубаешь её - появляется третья. И так 20 подсетей обнаруживается.
     
  • 2.8, Аноним (8), 00:15, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Например, пользуешься Yggdrasil и все запущенные сервисы торчат наружу. Любой сможет к ним приконнектиться.
     
     
  • 3.17, Аноним (17), 03:17, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Ну и кто виноват, что ты не смог фаерволл настроить на локалхосте?
     
     
  • 4.27, Хру (?), 06:46, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Yggstack, не?
     
  • 4.36, Аноним (36), 10:12, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    У тебя биполярка. Сабж - не файрволл, что ли?
     
     
  • 5.46, Абра (?), 17:01, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Домашнее задание: выучить что значит "биполярка". Завтра будешь отвечать.
     
  • 3.35, Соль земли2 (?), 10:08, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Тут декстопы в серой сети обсуждают, а не сервера с белым ИП.
     
  • 3.39, Аноним (39), 12:14, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    А обычным nftables/iptables запретить все входящие на tun-интерфейс не судьба?
     
  • 2.30, User (??), 09:00, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Ну вот теперь возрадуйтесь, правоверные! Уровень windows XP достигнут... но это еще не точно.
     
  • 2.54, Аоним (?), 17:47, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    >из официального репозитария дистрибутива.

    Репо сам по себе не гарантирует отсутствие шпионской функциональности в ПО под видом служебного трафика. Его выявляют заинтересованные и обнародуют. Репо удаляет ПО на основе обоснованной репутации. Нет такой услуги у репо проверять ПО на шпионство.

     

  • 1.13, Аноним (13), 01:29, 10/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Нормально ли будет закрыть на внешнем интерфейсе все порты для входящих TCP/UDP соединений? Не отвалится ли что-нибудь?
     
     
  • 2.15, iCat (ok), 02:11, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Это зависит от конкретных условий рабочей станции.
    Опыт покажет.
     
  • 2.42, Аноним (42), 13:34, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    В системе рассчитанной лишь на исходящий трафик это и нормально и необходимо. Для входящего трафика разрешить только established и related.
     
  • 2.48, Аоним (?), 17:10, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Прикладное ПО легко. Просто оно не будет работать с сетью.
    Системные соединения. Это надо анализировать и ситуации бывают разные.
    Обновлениям можно разрешать доступ на время обновления.
    NTP можно тоже по расписанию.
    Ну и так далее с разбивкой целой системы на фрагменты.
     
     
  • 3.49, Аоним (?), 17:14, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Прошу прощение. Всё это я написал для Исходящих соединений. Входящие можно легко блокировать все для клиента (но не для сервера). Тотже торент клиент легко находит пиры через DHP от известных пиров. Его новые не видят, поэтому соединения прекращаются после закачки.
     
     
  • 4.50, Аоним (?), 17:15, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    *DHT
     
  • 2.57, Аноним (57), 20:33, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Нет, это не будет нормально, потому что UDP-соединений в природе не существует.
     
     
  • 3.59, Аноним (59), 22:47, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Насчет широко развернутой компании UDP трафика для убыстрения интернета:
    Там присутствует инициатор в обмене? Если нет, то полностью ломается парадигма инициатора.
    Это значит, если ты закрываешь входные потоки, то теряешь исходящие и сеть полностью.
     
  • 2.60, Аноним (60), 23:01, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Наверное не увидишь проблем, но вообще кое-что может ломаться.

    С торрентом может быть проблема. Если вас два таких "умных" на раздаче встретится и больше никого нет... то никто ни у кого ничего скачать не сможет.
    Также ftp может быть активным и пассивным. Но тут достаточно правильный режим выбрать на ftp-клиенте.

    С udp могут быть проблемы, но udp всё таки редкость. "UDP-соедиенение" в ядре виртуально возникнет на пару минут. Быстрый ответ на source-порт со связки dest:dest-порт (куда до этого отправлялся пакет). router pinhole для udp обычно так работает.
    В итоге всё будет работать, если твой компьютер инициирует обмен по UDP (надо смотреть на прикладной уровень, кто обмен инициирует).

     

  • 1.14, Аноним (14), 02:06, 10/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Мне почему-то кажется что можно через Claude быстро сделать аналог такого приложения
     
     
  • 2.16, Аноним (16), 02:41, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Судя по первым проблемам на github там качество такое что похоже оно им и делалось.
     
  • 2.18, Аноним (17), 03:19, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Можно. Но для этого надо знать как. А сабж как раз для тех, кто не знает.
     
  • 2.41, Аноним (41), 13:23, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > кажется что можно через Claude быстро сделать

    можно. сделай, не кажись.

     
  • 2.43, Аноним (42), 13:36, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/
    "Можно, а зачем?"
    @автовазовский хомяк
     
  • 2.51, Аоним (?), 17:25, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Не надо никакого клауд. Надо просто уделить внимание изучению предмета. Все что предлагает это ПО есть в системе. Просто изучить и настроить. И компетенции повысишь и уверено будешь себя чувствовать.
     

  • 1.23, Аноним (23), 05:00, 10/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    >пользующегося популярностью у пользователей платформы macOS

    Ясно понятно.

    >Загружаемые в ядро программы eBPF, библиотека функций и web-интерфейс распространяются под лицензией GPLv2.

    А остальные части под какой лицензией? Проприетарные компоненты есть?

    >Фоновый процесс написан на Rust и распространяется под проприетарной лицензией

    А! Чтобы эта прога следила за мной?

     
     
  • 2.25, Аноним (25), 06:31, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    "Верить никому нельзя, даже себе, мне - можно" (c)
     
  • 2.40, Аноним (40), 12:36, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > А остальные части под какой лицензией? Проприетарные компоненты есть?

    А какая разница?
    Вон в линуксе нвидевский блоб и это мало кого парит.
    К чему есть доступ у дров на видяху сам подумай.

    > А! Чтобы эта прога следила за мной?

    Можешь не пользоваться.
    Никто ж не заставляет

     
     
  • 3.58, Аноним (57), 20:35, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Нету в линуксе никакого невидиевского блоба. Если ты сам его притащил — это твои личные проблемы.
     

  • 1.31, Аноним (32), 09:23, 10/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Эта хрень при сборке скачивает питонщину и гошную хрень.
     
     
  • 2.47, Аноним (32), 17:04, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Собери сам.
     

  • 1.33, Перастерос (ok), 09:39, 10/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    >Поддерживается работа на системах с ядром Linux 6.12 и новее

    А почему такие требования к ядру? у меня на Debian-12 такого ядра нет в репах.

     
     
  • 2.37, ryoken (ok), 10:22, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    А в Liquorix?
     
  • 2.44, Аноним (42), 13:38, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Так пора уже на debian 13.
     
  • 2.52, Аоним (?), 17:35, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Возможно другая система BPF или просто подгоняют клиента обновляться.
     
  • 2.53, Аоним (?), 17:37, 10/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    или просто - у нас все на 6.12 и других тестов и отладки мы не можем позволить.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2026 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру