Tor relay на Fedora 25

Адресация

Резервируем на маршрутизаторе сетевой адрес компьютера внутри локальной сети, чтобы при повторном включении компьютера или после перезагрузки маршрутизатора перенаправление сетевых подключений работало исправно.
Для этого выключаем на компьютере автоматическое получение IP-адреса по DHCP и указываем адреса вручную. Это выглядит примерно так:

IP-адрес 192.168.0.100 Маска 255.255.255.0 Шлюз 192.168.0.1 ДНС 8.8.8.8 ДНС 8.8.4.4

Перезапускаем сетевой интерфейс, чтобы применить изменения:

~]$ systemctl restart network.service

Проверяем результат:

~]$ ip addr

Включаем на маршрутизаторе привязку MAC-адреса сетевой карты к назначенному IP-адресу. На TP-Link это отмечается галочкой в разделе ПРИВЯЗКА в веб-интерфейсе управления.

Открываем порты для входящих соединений. Это указывается в разделе ПЕРЕАДРЕСАЦИЯ.

Порт сервиса 443 Порт сервиса 80 Внутренний порт 443 Внутренний порт 80 IP-адрес 192.168.0.100 IP-адрес 192.168.0.100 Протокол TCP Протокол TCP Состояние Включено Состояние Включено

Желательно открывать привилегированные порты HTTPS и HTTP чтобы люди, сидящие за строгими межсетевыми экранами, имели возможность достучаться до вашего ретранслятора.

Фаервол

Настраиваем на компьютере динамический фаервол:

1) добавляем новую зону tor на постоянно (или вносим изменения в свою активную зону)
2) включаем в зоне службу tor-socks (эта служба в фаерволе уже предусмотрена)
3) открываем порты для входящих соединений
4) включаем маскарадинг (это требуется для проброса портов)
5) перенаправляем порты с привилегированных на обычные (чтобы не требовалось запускать tor от рута)
6) добавляем в зону сетевой интерфейс (для проводного соединения это eno1)
7) применяем измененную конфигурацию
8) проверяем конфигурацию зоны tor

Все команды помещаем в скрипт firewalld-tor:

#!/bin/bash firewall-cmd --permanent --new-zone=tor firewall-cmd --permanent --zone=tor --add-service=tor-socks firewall-cmd --permanent --zone=tor --add-port=443/tcp --add-port=80/tcp firewall-cmd --permanent --zone=tor --add-masquerade firewall-cmd --permanent --zone=tor --add-forward-port=port=443:proto=tcp:toport=9001 --add-forward-port=port=80:proto=tcp:toport=9030 firewall-cmd --permanent --zone=tor --add-interface=eno1 firewall-cmd --reload firewall-cmd --permanent --info-zone=tor

Делаем файл скрипта исполняемым и запускаем скрипт:

~]$ chmod +x ./firewalld-tor ~]$ ./firewalld-tor

На выдаче получим нечто подобное:

tor (active) target: default icmp-block-inversion: no interfaces: eno1 services: tor-socks ports: 443/tcp 80/tcp masquerade: yes forward-ports: port=443:proto=tcp:toport=9001:toaddr= port=80:proto=tcp:toport=9030:toaddr=

Переадресацию портов можно выполнить прямо на маршрутизаторе с порта сервиса 443 на внутренний порт 9001 и с 80 на 9030. Тогда на динамическом фаерволе можно не включать маскарадинг и форвардинг.

Установка и настройка

Устанавливаем tor:

~]# dnf install tor

Настраиваем файл конфигурации:

~]# gedit /etc/tor/torrc

Для ретранслятора он будет иметь примерно следующее содержимое.

К активным строкам:

ControlSocket /run/tor/control ControlSocketsGroupWritable 1 CookieAuthentication 1 CookieAuthFile /run/tor/control.authcookie CookieAuthFileGroupReadable 1

Добавляем следующие строки:

## Сюда будет записываться лог Log notice file /var/log/tor/notices.log ## Псевдоним для ретранслятора (можно изменять как угодно) Nickname toxiroxiUA ## Контактные данные (не обязательные к указанию) ContactInfo toxiroxi AT gmail dot com - 1Ck5DrTBVJj2GMJzij6Hc8eiFDVWFAyGe7 ## Порт входящих подключений (но tor не будет слушать на этом порту) ORPort 443 NoListen ## Порт, на котором tor будет слушать (но не будет объявлять его наружу) ORPort 9001 NoAdvertise ## Порт входящих подключений для трансляции каталога DirPort 80 NoListen ## Порт, на котором tor будет слушать входящие подключения для каталога DirPort 9030 NoAdvertise ## Не быть exit-нодой ExitPolicy reject *:*

Можно ограничить пропускную способность узла подобными строками:

#RelayBandwidthRate 100 KBytes # Throttle traffic to 100 KB/s (800 Kbps) #RelayBandwidthBurst 200 KBytes # But allow bursts up to 200 KB/s (1600 Kbps) #AccountingMax 40 GBytes #AccountingStart day 00:00 #AccountingStart month 3 15:00

На анлиме смысла не имеет.

Запуск службы

Запускаем tor:

~]$ systemctl start tor.service

Перезапуск, остановка, перезагрузка конфигурации соответственно:

~]$ systemctl restart tor-master.service ~]$ systemctl stop tor-master.service ~]$ systemctl reload tor-master.service

Проверяем работу узла:

~]$ systemctl status tor.service

Должно выдать нечто подобное:

tor.service - Anonymizing overlay network for TCP Loaded: loaded (/usr/lib/systemd/system/tor.service; disabled; vendor preset: disabled) Active: active (running) Process: 1936 ExecStartPre=/usr/bin/tor --runasdaemon 0 --defaults-torrc /usr/share/tor/defaults-torrc -f /etc/tor/torrc --verify-config (code=exited, status=0/SUCCESS) Main PID: 1943 (tor) Tasks: 5 (limit: 4915) CGroup: /system.slice/tor.service /usr/bin/tor --runasdaemon 0 --defaults-torrc /usr/share/tor/defaults-torrc -f /etc/tor/torrc host tor[1936]: Configuration was valid host tor[1943]: [notice] Read configuration file "/usr/share/tor/defaults-torrc". host tor[1943]: [notice] Read configuration file "/etc/tor/torrc". host tor[1943]: [notice] Opening Socks listener on 127.0.0.1:9050 host tor[1943]: [notice] Opening OR listener on 0.0.0.0:9001 host tor[1943]: [notice] Opening Directory listener on 0.0.0.0:9030 host systemd[1]: Started Anonymizing overlay network for TCP.

Чтение лога:

~]# cat /var/log/tor/notices.log

Выдача:

[notice] Tor 0.2.9.10 (git-1f6c8eda0073f464) opening new log file. [notice] Read configuration file "/usr/share/tor/defaults-torrc". [notice] Read configuration file "/etc/tor/torrc". [notice] Opening Socks listener on 127.0.0.1:9050 [notice] Opening OR listener on 0.0.0.0:9001 [notice] Opening Directory listener on 0.0.0.0:9030 [notice] Parsing GEOIP IPv4 file /usr/share/tor/geoip. [notice] Parsing GEOIP IPv6 file /usr/share/tor/geoip6. [notice] Your Tor server's identity key fingerprint is 'toxiroxiUA DDD7871C1B7FA32CB55061E08869A236E61BDDF8' [notice] Opening Control listener on /run/tor/control [notice] Guessed our IP address as 5.34.183.205 (source: 217.12.199.190). [notice] Now checking whether ORPort 5.34.183.205:443 and DirPort 5.34.183.205:80 are reachable... [notice] Self-testing indicates your DirPort is reachable from the outside. Excellent. [notice] Self-testing indicates your ORPort is reachable from the outside. Excellent. Publishing server descriptor.

Через некоторое время ретранслятор отобразится в атласе (используйте в URL фингерпринт узла)

https://atlas.torproject.org/#details/DDD7871C1B7FA32CB55061E08869A236E61BDDF8

И в неофициальном Tor Network Status:

https://torstatus.blutmagie.de/router_detail.php?FP=ddd7871c1b7fa32cb55061e08869a236e61bddf8

Управление службой

Проверка текущего состояния службы

~]$ systemctl status tor.service

Проверка, будет ли служба запущена после перезагрузки

~]$ systemctl is-enabled tor.service

Включение запуска службы после перезагрузки

~]$ systemctl enable tor.service

Выдача:

Created symlink /etc/systemd/system/multi-user.target.wants/tor.service - /usr/lib/systemd/system/tor.service.

Отключение запуска службы после перезагрузки

~]$ systemctl disable tor.service