Jak uruchomić przekaźnik Tor na VPS

Nauka uruchamiania przekaźnika Tor na VPS to jedna z najbardziej wartościowych rzeczy, jakie może zrobić osoba dbająca o prywatność: jeden dobrze skonfigurowany przekaźnik cicho przenosi ruch dla tysięcy nieznajomych, którzy go potrzebują. Sieć nie jest prowadzona przez firmę — prowadzą ją wolontariusze, którzy przekazują przepustowość z maszyn dokładnie takich jak ta, którą możesz wdrożyć w kilka minut. Ten przewodnik omawia typy przekaźników, czystą instalację na nowym serwerze, ustawienia, które czynią cię dobrym operatorem, a nie tylko kolejnym węzłem, oraz rolę, którą powinieneś dokładnie przemyśleć przed włączeniem.

Wszystko tutaj jest celowo ogólne w kwestiach wrażliwych dla bezpieczeństwa. Oficjalna dokumentacja operatora Tora jest kanonicznym, zawsze aktualnym źródłem i powinieneś przeczytać ją wraz z tym artykułem; celem jest tutaj przedstawienie kształtu zadania i etykiety operatora, którą tutoriale zwykle pomijają.

Przekaźniki, mosty i węzły wyjściowe: co faktycznie się różni

Sieć Tor składa się z trzech rodzajów węzłów, a właściwy wybór to większość decyzji:

Przekaźnik środkowy (nie-wyjściowy). Odbiera zaszyfrowany ruch z jednego węzła Tor i przekazuje go do następnego. Nigdy nie rozmawia z otwartym internetem w imieniu użytkownika, więc nigdy nie pojawia się w logach serwera. To najbezpieczniejsza rola do uruchomienia na wynajętej infrastrukturze i właściwy domyślny wybór dla pierwszego przekaźnika.
Most. Specjalny niepubliczny punkt wejścia. Ponieważ jego adres nie znajduje się w publicznym katalogu przekaźników, cenzorzy w restrykcyjnych sieciach nie mogą go łatwo zablokować, więc mosty pomagają użytkownikom w miejscach, gdzie zwykły Tor jest filtrowany. Most obfs4 dodatkowo maskuje ruch, aby nie wyglądał jak Tor w ogóle. Mosty są łatwe w utrzymaniu i niezwykle przydatne.
Węzeł wyjściowy. Ostatni skok, który łączy się z docelową stroną lub usługą. Ponieważ ten ruch wychodzący niesie adres IP twojego serwera, wszelkie nadużycia przez niego przekierowane wyglądają, jakby pochodziły od ciebie. Węzły wyjściowe utrzymują sieć użyteczną, ale przyciągają skargi i uwagę prawną i nie powinny być uruchamiane przypadkowo na maszynie, na której ci zależy.

Dla większości ludzi odpowiedzią jest przekaźnik środkowy lub most obfs4. Oba są naprawdę wartościowe i żaden nie umieszcza twojego IP po stronie odbierającej czyjąkolwiek aktywność.

Co potrzebujesz przed rozpoczęciem

Przekaźnik nie jest zasobożerny w sposób, w jaki jest serwer gier, ale wymaga dużej przepustowości i musi być online. Celuj w:

Stabilną przepustowość. Tor sugeruje, aby przekaźnik utrzymywał znaczące, ciągłe natężenie w obu kierunkach. Przekaźnik, który przesyła prawdziwy ruch, jest wart dla sieci znacznie więcej niż dziesięć, które ledwo przesyłają dane, więc link bez limitu lub z hojnym limitem ma większe znaczenie niż surowa moc CPU.
Umiarkowane RAM i CPU. Mała instancja z łatwością obsługuje przekaźnik środkowy; szyfrowanie to główne obciążenie i staje się zauważalne dopiero przy wysokiej przepustowości. Nasz plan Phantom wystarczy na początek, a możesz skalować w górę, jeśli twój przekaźnik zdobędzie dużą wagę konsensusu.
Uptime i stabilny adres IP. Przekaźniki budują reputację powoli przez tygodnie. Częste restarty lub zmiany adresu resetują ten postęp, więc wybierz dostawcę (hostingu), którego zamierzasz pozostawić działającego.
Dostawcę, który na to pozwala. Wielu hostów po cichu zabrania Tora. Wdrożenie przekaźnika na infrastrukturze, która na to pozwala — zobacz nasz VPS stworzony dla operatorów przekaźników Tor — oszczędza ci niespodziewanego zawieszenia.

Instalacja Tora na świeżym serwerze

Nie instaluj wersji Tora, która pochodzi z domyślnego repozytorium twojej dystrybucji — często jest ona opóźniona o miesiące, a oprogramowanie przekaźnika to dokładnie miejsce, gdzie chcesz aktualnego kodu. Zamiast tego dodaj oficjalne repozytorium pakietów Tor Project dla swojej dystrybucji i instaluj stamtąd, a następnie pozwól, aby automatyczne aktualizacje utrzymywały je aktualnym. Tor Project utrzymuje instrukcje krok po kroku dla każdego systemu operacyjnego w swojej dokumentacji operatora przekaźnika; postępuj zgodnie z nimi, aby uzyskać dokładne linie repozytorium i klucze podpisujące.

Na wysokim poziomie przepływ jest wszędzie taki sam: najpierw zabezpiecz maszynę (użytkownik nie-root, SSH tylko z kluczem, zapora sieciowa zezwalająca na wybrany ORPort), dodaj repozytorium Tor, zainstaluj pakiet tor, a następnie edytuj pojedynczy plik konfiguracyjny, /etc/tor/torrc. Wszystko, co definiuje twój przekaźnik, znajduje się w tym pliku.

Konfiguracja przekaźnika środkowego

Funkcjonalny przekaźnik nie-wyjściowy potrzebuje tylko kilku linii w torrc. Koncepcyjnie ustawiasz pseudonim, porty, na których nasłuchuje Tor, górny limit przepustowości, dane kontaktowe i — co kluczowe — politykę, która odmawia działania jako węzeł wyjściowy:

Nickname        myrelaynick
ORPort          9001
ContactInfo     [email protected]          # a real, monitored address (alias or PGP-fingerprinted)
RelayBandwidthRate   10 MBytes           # your chosen sustained rate
RelayBandwidthBurst  20 MBytes           # a higher short-term ceiling
ExitRelay       0
SocksPort       0

Zrestartuj Tora i obserwuj log. W ciągu kilku minut powinieneś zobaczyć, jak wykonuje testy osiągalności; gdy przejdą, twój przekaźnik zostanie opublikowany w urzędach katalogowych i zacznie pojawiać się na publicznej liście przekaźników. Pierwsze dni lub dwa niosą niewiele ruchu, podczas gdy sieć cię mierzy i ufa ci — ten wzrost jest normalny, więc oprzyj się pokusie ciągłego dostrajania.

Uruchamianie mostu obfs4 zamiast tego

Jeśli twoim celem jest pomoc ludziom za cenzurą, most jest wyborem o większym wpływie. Instalujesz ten sam pakiet tor plus transport wtyczkowy obfs4proxy, a następnie ustawiasz przekaźnik w tryb mostu z włączonym transportem obfs4 i osobnym portem transportu. Ponieważ mosty są niepubliczne, rozpowszechniasz swoją linię mostu prywatnie lub przekazujesz ją do BridgeDB Tora, zamiast publikować. Dokumentacja operatora obejmuje dokładną sekcję torrc i konfigurację obfs4; kluczowy model mentalny jest taki, że most to prywatne drzwi wejściowe, których wartość zależy od nie bycia szeroko reklamowanym.

Ustawienia dobrego operatora, które naprawdę mają znaczenie

To są linie, które odróżniają pomocny przekaźnik od uciążliwego:

ContactInfo. Ustaw prawdziwy, monitorowany adres. Gdy urząd katalogowy lub inny operator musi się z tobą skontaktować w sprawie błędnej konfiguracji lub aktualizacji bezpieczeństwa, to jest sposób. Anonimowy, ale osiągalny jest w porządku; nieosiągalny nie jest.
MyFamily. Jeśli prowadzisz więcej niż jeden przekaźnik, wypisz odcisk tożsamości każdego przekaźnika w linii MyFamily każdego z nich. To mówi klientom, aby nie budowali obwodu przechodzącego przez dwa twoje przekaźniki, co podważyłoby anonimowość. Uczciwe deklarowanie rodziny to podstawowa higiena sieci.
Limity przepustowości. Użyj RelayBandwidthRate i RelayBandwidthBurst, aby przekazywać hojnie bez nasycania łącza lub przekraczania limitów. Ustawienie rozsądnego limitu utrzymuje przekaźnik stabilnym, a stabilny przekaźnik zdobywa większą wagę konsensusu niż szybki, który ciągle się przewraca.
Utrzymuj go załatane. Włącz automatyczne aktualizacje zabezpieczeń dla pakietu Tor. Przekaźniki są długowieczne, a nieobsługiwany, przestarzały przekaźnik jest obciążeniem dla wszystkich, którzy przez niego kierują ruch.

Poważne słowo o węzłach wyjściowych

Węzły wyjściowe są najrzadszym i najbardziej narażonym zasobem sieci. Każde żądanie, które użytkownik Tora wysyła do otwartej sieci, wychodzi przez IP jakiegoś węzła wyjściowego, co oznacza, że skargi o nadużycia, listy blokujące i sporadycznie zapytania organów ścigania trafiają do operatora węzła wyjściowego. Electronic Frontier Foundation i Tor Project zdecydowanie zalecają uruchamianie węzłów wyjściowych z dedykowanej infrastruktury z jasnym procesem obsługi nadużyć i, najlepiej, wsparciem instytucjonalnym — a nie z osobistego serwera i nie bez zrozumienia lokalnego ryzyka prawnego. Jeśli jesteś nowy, uruchom przekaźnik środkowy lub most; węzły wyjściowe zostaw operatorom, którzy przygotowali papiery, odwrotny DNS i skrzynkę na nadużycia, aby je właściwie obsługiwać.

Konkretnie w HushVPS: przekaźniki środkowe i mosty obfs4 są wyraźnie mile widziane, a ich uruchomienie mieści się w naszej postawie dopuszczalnego użytkowania. Węzły wyjściowe to większe zobowiązanie we współdzielonej przestrzeni sieciowej, więc sprawdź naszą aktualną politykę węzłów wyjściowych z nami przez stronę kontaktową przed uruchomieniem. Potwierdź, zanim przełączysz ExitRelay na 1.

Utrzymywanie przekaźnika w zdrowiu

Gdy już działa, przekaźnik w większości prowadzi się sam, ale zaglądaj do niego okresowo. Wyszukiwarka przekaźników Tor pozwala znaleźć Twój przekaźnik po pseudonimie lub odcisku palca, aby potwierdzić, że jest oznaczony jako Running i Stable, oraz obserwować historię przepustowości. Monitoruj logi po każdej aktualizacji oprogramowania, utrzymuj synchronizację zegara i upewnij się, że zapora sieciowa nadal udostępnia port ORPort. Jeśli kiedykolwiek przeniesiesz przekaźnik na nowy serwer, skopiuj klucze tożsamości przekaźnika, aby zachował swoją ciężko zdobytą reputację, zamiast zaczynać od zera.

Jeśli przekaźnik to Twój pierwszy krok w budowaniu infrastruktury prywatności, naturalnie łączy się z innymi usługami, które możesz hostować anonimowo — na przykład publikując usługę jako witrynę onion bez publicznego IP, dostępną tylko przez Tora. Ta sama etyka, inny zakątek tej samej sieci.

Krótka wersja

Wybierz przekaźnik środkowy lub mostek obfs4 na swój pierwszy węzeł. Zainstaluj Tora z oficjalnego repozytorium, a nie z domyślnego pakietu dystrybucji. Ustaw prawdziwe ContactInfo, zadeklaruj MyFamily, jeśli prowadzisz więcej niż jeden, rozsądnie ogranicz przepustowość i aktualizuj pakiety. Przekaźniki wyjściowe zostaw na później i dla infrastruktury zbudowanej tak, aby absorbować skargi. Jeśli to zrobisz, dodasz naprawdę użyteczny, dobrze wychowany węzeł do sieci, która działa wyłącznie dzięki ludziom gotowym robić dokładnie to.