Как запустить ретранслятор Tor на VPS

Умение запускать ретранслятор Tor на VPS — одна из самых полезных вещей для человека, заботящегося о приватности: один хорошо настроенный ретранслятор незаметно передает трафик для тысяч незнакомцев, которым он нужен. Сеть управляется не компанией — ее поддерживают волонтеры, жертвующие трафик с машин, точно таких же, как та, которую вы можете развернуть за несколько минут. Это руководство описывает типы ретрансляторов, чистую установку на новый сервер, настройки, которые делают вас хорошим оператором, а не просто очередным узлом, и ту роль, которую стоит хорошо обдумать перед включением.

Здесь все намеренно описано на высоком уровне в чувствительных к безопасности местах. Официальная документация Tor для операторов — канонический и всегда актуальный источник, и ее стоит читать вместе с этой статьей; цель здесь — дать вам представление о задаче и об этикете оператора, который обычно пропускают в руководствах.

Ретрансляторы, мосты и выходные узлы: в чем реальная разница

Сеть Tor состоит из трех типов узлов, и правильный выбор — это уже половина решения:

• Промежуточный (не выходной) ретранслятор. Он получает зашифрованный трафик от одного узла Tor и передает его следующему. Он никогда не выходит в открытый интернет от имени пользователя, поэтому никогда не появляется в чьих-либо серверных логах. Это самая безопасная роль для арендованной инфраструктуры и правильный выбор по умолчанию для первого ретранслятора.
• Мост. Особая непубличная точка входа. Поскольку его адрес отсутствует в публичном каталоге ретрансляторов, цензоры в ограничительных сетях не могут легко его заблокировать, поэтому мосты помогают пользователям в местах, где обычный Tor фильтруется. obfs4 мост дополнительно маскирует трафик, чтобы он вообще не выглядел как Tor. Мосты — это низкодраматично для хостинга и чрезвычайно полезно.
• Выходной узел. Последний хоп, который соединяется с фактическим целевым сайтом или сервисом. Поскольку этот исходящий трафик несет IP-адрес вашего сервера, любые злоупотребления, проходящие через него, выглядят так, будто исходят от вас. Выходные узлы поддерживают работоспособность сети, но они привлекают жалобы и внимание правоохранительных органов, и их не следует запускать небрежно на машине, которая вам дорога.

Для большинства людей ответ — промежуточный ретранслятор или мост obfs4. Оба действительно ценны, и ни один не ставит ваш IP на принимающую сторону чьей-либо активности.

Что нужно перед началом

Ретранслятор не требует много ресурсов, как игровой сервер, но он требует много трафика и должен быть постоянно онлайн. Стремитесь к следующему:

• Стабильный трафик. Tor рекомендует, чтобы ретранслятор мог поддерживать значительную непрерывную скорость в обоих направлениях. Ретранслятор, передающий реальный трафик, гораздо ценнее для сети, чем десять, которые едва двигают данные, поэтому безлимитный или щедро тарифицируемый канал важнее, чем сырая мощность CPU.
• Умеренные RAM и CPU. Небольшой инстанс легко справляется с промежуточным ретранслятором; основная нагрузка — шифрование, и она становится заметной только при высокой пропускной способности. Нашего тарифа Phantom достаточно для начала, и вы можете масштабироваться, если ваш ретранслятор получит большой вес в консенсусе.
• Uptime и стабильный IP. Ретрансляторы медленно наращивают репутацию в течение недель. Частые перезапуски или смена адресов сбрасывают этот прогресс, поэтому выбирайте хостинг-провайдера, у которого вы планируете оставить сервер работать.
• Провайдер, который это разрешает. Многие хосты тихо запрещают Tor. Развертывание ретранслятора на инфраструктуре, которая это допускает — см. наш VPS для операторов ретрансляторов Tor — избавит вас от неожиданной приостановки.

Установка Tor на новый сервер

Не устанавливайте версию Tor из стандартного репозитория вашего дистрибутива — она часто отстает на месяцы, а для ретранслятора нужен актуальный код. Вместо этого добавьте официальный репозиторий пакетов Tor Project для вашего дистрибутива и устанавливайте оттуда, затем позвольте автоматическим обновлениям поддерживать его актуальным. Tor Project поддерживает пошаговые инструкции для каждой операционной системы в своей документации для операторов ретрансляторов; следуйте им для точных строк репозитория и ключей подписи.

В целом процесс одинаков везде: сначала укрепите сервер (пользователь без root, SSH только по ключам, файрвол, разрешающий выбранный ORPort), добавьте репозиторий Tor, установите пакет tor, затем отредактируйте один конфигурационный файл, /etc/tor/torrc. Все, что определяет ваш ретранслятор, находится в этом файле.

Настройка промежуточного ретранслятора

Функциональному не-выходному ретранслятору нужно лишь несколько строк в torrc. По сути, вы задаете псевдоним, порты, на которых слушает Tor, потолок трафика, контактные данные и — критически важно — политику, запрещающую действовать как выходной узел:

Nickname        myrelaynick
ORPort          9001
ContactInfo     [email protected]          # a real, monitored address (alias or PGP-fingerprinted)
RelayBandwidthRate   10 MBytes           # your chosen sustained rate
RelayBandwidthBurst  20 MBytes           # a higher short-term ceiling
ExitRelay       0
SocksPort       0

Перезапустите Tor и следите за логом. В течение нескольких минут вы должны увидеть, как он выполняет проверки доступности; как только они пройдут, ваш ретранслятор будет опубликован у авторитетных каталогов и начнет появляться в публичном списке ретрансляторов. В первые день-два трафика мало, пока сеть измеряет и доверяет вам — этот разгон нормален, так что не поддавайтесь желанию постоянно что-то менять.

Запуск моста obfs4 вместо этого

Если ваша цель — помочь людям за цензурой, мост — более эффективный выбор. Вы устанавливаете тот же пакет tor плюс транспортируемый транспорт obfs4proxy, затем переводите ретранслятор в режим моста с включенным транспортом obfs4 и отдельным транспортным портом. Поскольку мосты не публикуются, вы распространяете свою строку моста приватно или передаете ее BridgeDB от Tor, а не публикуете. Документация оператора описывает точную секцию torrc и настройку obfs4; ключевая модель мышления: мост — это приватная входная дверь, ценность которой зависит от того, что она не широко рекламируется.

Настройки хорошего оператора, которые действительно важны

Эти строки отличают полезный ретранслятор от обузы:

• ContactInfo. Укажите реальный, отслеживаемый адрес. Когда авторитетный каталог или коллега-оператор должен связаться с вами по поводу неправильной конфигурации или обновления безопасности, это способ. Анонимный, но доступный — нормально; недоступный — нет.
• MyFamily. Если вы запускаете более одного ретранслятора, укажите отпечаток идентичности каждого ретранслятора в строке MyFamily каждого из них. Это сообщает клиентам не строить цепочку, проходящую через два ваших ретранслятора, что подорвало бы анонимность. Честное объявление своей семьи — базовая гигиена сети.
• Лимиты трафика. Используйте RelayBandwidthRate и RelayBandwidthBurst, чтобы жертвовать щедро, не насыщая ваш канал и не превышая лимит. Разумный потолок поддерживает стабильность ретранслятора, а стабильный ретранслятор получает больший вес в консенсусе, чем быстрый, но постоянно падающий.
• Держите его пропатченным. Включите автоматические обновления безопасности для пакета Tor. Ретрансляторы живут долго, и необслуживаемый устаревший ретранслятор — ответственность для всех, кто через него маршрутизируется.

Серьезное слово о выходных узлах

Выходные узлы — самый дефицитный и самый открытый ресурс сети. Каждый запрос пользователя Tor к открытому вебу выходит через IP какого-то выходного узла, что означает, что жалобы на злоупотребления, блокировки и иногда запросы правоохранительных органов ложатся на оператора выходного узла. Electronic Frontier Foundation и Tor Project настоятельно рекомендуют запускать выходные узлы на выделенной инфраструктуре с четким процессом обработки жалоб и, в идеале, институциональной поддержкой — не на личном сервере и не без понимания вашего локального юридического риска. Если вы новичок, запускайте промежуточный ретранслятор или мост; оставьте выходные узлы операторам, которые подготовили документы, обратный DNS и почтовый ящик для жалоб, чтобы обрабатывать их должным образом.

Конкретно на HushVPS: промежуточные ретрансляторы и мосты obfs4 явно приветствуются, и их запуск полностью соответствует нашей политике допустимого использования. Выходные узлы — более серьезное обязательство на общем сетевом пространстве, поэтому уточните нашу текущую политику в отношении выходных узлов через страницу контактов, прежде чем запускать такой узел. Подтвердите, прежде чем переключить ExitRelay на 1.

Поддержание здоровья вашего ретранслятора

После запуска ретранслятор в основном работает сам, но периодически проверяйте его. Поиск ретрансляторов Tor позволяет найти ваш ретранслятор по псевдониму или отпечатку, чтобы убедиться, что он помечен как Running и Stable, и следить за историей его трафика. Следите за журналом после каждого обновления программного обеспечения, синхронизируйте часы и убедитесь, что ваш брандмауэр по-прежнему открывает порт ORPort. Если вы когда-либо переносите ретранслятор на новый сервер, скопируйте ключи идентификации ретранслятора, чтобы он сохранил свою заслуженную репутацию, а не начинал с нуля.

Если ретранслятор — ваш первый шаг в запуске инфраструктуры приватности, он естественным образом сочетается с другими сервисами, которые вы можете размещать анонимно — например, публикация сервиса как onion-сайта без публичного IP, чтобы он был доступен только через Tor. Та же этика, другой угол той же сети.

Кратко

Выберите средний ретранслятор или мост obfs4 для вашего первого узла. Установите Tor из официального репозитория, а не из стандартного дистрибутива. Укажите реальный ContactInfo, объявите MyFamily, если вы запускаете более одного, разумно ограничьте пропускную способность и регулярно обновляйте пакет. Выходные узлы оставьте на потом и для инфраструктуры, созданной для поглощения жалоб. Сделайте это — и вы добавите действительно полезный, хорошо ведущий себя узел в сеть, которая полностью держится на людях, готовых делать именно это.