1. Stelle sicher, dass die Relay-Anschlüsse erreicht werden können

Wenn du eine Firewall verwendest, öffne eine Lücke in deiner Firewall, damit eingehende Verbindungen die Ports erreichen können, die du für dein Relay verwenden willst (ORPort).

Stelle außerdem sicher, dass du auch alle ausgehenden Verbindungen zulässt, damit dein Relay die anderen Tor-Relays, Clients und Ziele erreichen kann.

Die spezifische ORPort TCP-Portnummer findest du auf der Setup-Seite (in den OS-spezifischen Abschnitten).

2. Überprüfe, ob dein Relay funktioniert

Wenn deine Logdatei (syslog) nach dem Start deines tor-Daemons den folgenden Eintrag enthält, sollte dein Relay wie erwartet laufen:

Self-testing indicates your ORPort is reachable from the outside. Excellent.
Publishing server descriptor.

Etwa 3 Stunden, nachdem du dein Relay gestartet hast, sollte es erscheinen in der Relay Suche auf dem Metrics-Portal. Du kannst mit deinem Spitznamen oder deiner IP-Adresse nach deinem Relay suchen.

3. Mehr zum Thema Tor-Relay-Lebenszyklus

Es dauert eine gewisse Zeit, bis der Relay-Verkehr ansteigt, dies gilt insbesondere für die Wächter-Relays, in geringerem Maße aber auch für die Exit-Relays. Um diesen Prozess zu verstehen, lies über den Lebenszyklus eines neuen Relays.

4. Konfigurations-Management

Wenn du planst, mehr als ein einzelnes Relay zu betreiben, oder wenn du ein Relay mit hoher Kapazität betreiben willst (mehrere Tor-Instanzen pro Server) oder wenn du starke Sicherheitsfunktionen wie Offline Master Keys nutzen willst, ohne zusätzliche Schritte manuell durchzuführen, solltest du Konfigurationsmanagement für bessere Wartungsfreundlichkeit einsetzen.

Es gibt mehrere Konfigurationsmanagement-Lösungen für Unix-basierte Betriebssysteme (Ansible, Puppet, Salt, ...).

Die folgende Ansible Role wurde speziell für Betreiber von Tor-Relays entwickelt und unterstützt mehrere Betriebssysteme: Ansible Relayor.

5. Wichtig: Wenn du mehr als eine Tor-Instanz ausführst

Um Tor-Clients nicht zu gefährden, musst du, wenn du mehrere Relays betreibst, einen korrekten MyFamily Wert festlegen und eine gültige KontaktInfo in deiner torrc-Konfiguration haben. Die MyFamily-Einstellung teilt den Tor-Clients einfach mit, welche Tor-Relays von einer einzigen Entität/Betreiber/Organisation kontrolliert werden, so dass sie nicht an mehreren Stellen in einem einzigen Kanal verwendet werden.

Wenn du zwei Relays mit den Fingerabdrücken AAAAAAAAAAAA und BBBBBBBBBB betreibst, solltest du die folgende Konfiguration zur Einstellung von MyFamily hinzufügen:

MyFamily AAAAAAAAAA,BBBBBBBB

auf beiden Relays. Um den Fingerabdruck deines Relays zu finden, kannst du beim Start von tor in die Log-Dateien schauen oder du findest die Datei mit dem Namen "fingerprint" in deinem tor DataDirectory.

Statt dies manuell zu tun, empfehlen wir großen Betreibern, die MyFamily-Einstellung über eine Konfigurationsmanagement-Lösung zu automatisieren. Die manuelle Verwaltung von MyFamily für große Relay-Gruppen ist fehleranfällig und kann Tor-Clients in Gefahr bringen.

6. Hinzufügen von Firewall-Regeln zum Schutz vor DDoS-Angriffen

Die Konfiguration Ihrer Firewall, um zu viele gleichzeitige Verbindungen zu stoppen, hat sich als erheblich hilfreich erwiesen, um mit DDoS-Angriffen auf Relais umzugehen.

Erwägen Sie die Implementierung eines der folgenden Mechanismen:

Hinweis: Dies sind von der Gemeinschaft bereitgestellte Ressourcen. Sie sollten sie sorgfältig überprüfen, bevor Sie sie auf Ihr System anwenden. Zusätzlich sollten Sie beachten, dass diese Regeln sich als wirksam gegen bestimmte Angriffe erwiesen haben, die in der Vergangenheit stattgefunden haben. Angriffe entwickeln sich ständig weiter und erfordern häufig neue Regeln. Bitte bleiben Sie daher in Verbindung, um diese bei Bedarf zu aktualisieren, entweder durch Abonnieren des entsprechenden Projekts oder durch das Abonnieren der tor-relays Mailingliste.

7. Optional: Begrenzung der Bandbreitennutzung (und des Datenverkehrs)

Tor schränkt seine Bandbreitennutzung nicht standardmäßig ein, unterstützt aber mehrere Möglichkeiten, die genutzte Bandbreite und die Menge des Datenverkehrs zu begrenzen. Dies kann praktisch sein, wenn du sicherstellen möchtest, dass dein Tor-Relay eine bestimmte Bandbreite oder den Gesamtverkehr pro Tag/Woche/Monat nicht überschreitet. Die folgenden Torrc-Konfigurationsoptionen können zur Einschränkung der Bandbreite und des Datenverkehrs verwendet werden:

  • AccountingMax
  • AccountingRule
  • AccountingStart
  • BandwidthRate
  • BandwidthBurst
  • RelayBandwidthRate

Ein schnelles Relay für einige Zeit im Monat ist einem langsamen Relay für den ganzen Monat vorzuziehen.

Siehe auch den Bandbreiteneintrag in den F&A.

8. IPv6-Verfügbarkeit prüfen

Wir ermutigen jeden, IPv6 auf seinen Relays zu aktivieren. Dies ist besonders wertvoll bei Exit- und Wächter-Relays.

Bevor dein Tor-Daemon zu IPv4 auch zusätzlich IPv6 verwenden kann, solltest du einige grundlegende IPv6-Verbindungstests durchführen.

Die folgende Kommandozeile pingt die IPv6-Adressen der Tor-Verzeichnisdienste von deinem Server aus an:

ping6 -c2 2001:858:2:2:aabb:0:563b:1526 && ping6 -c2 2620:13:4000:6000::1000:118 && ping6 -c2 2001:67c:289c::9 && ping6 -c2 2001:678:558:1000::244 && ping6 -c2 2001:638:a000:4140::ffff:189 && echo OK.

Am Ende der Ausgabe solltest du "OK" sehen. Falls dies nicht der Fall ist, aktiviere IPv6 nicht in deiner torrc-Konfigurationsdatei, bevor IPv6 tatsächlich funktioniert. Wenn du IPv6 ohne funktionierende IPv6-Konnektivität aktivierst, ist dein gesamtes Relay nicht in Betrieb, unabhängig davon, ob IPv4 funktioniert.

Wenn es gut funktioniert hat, mach dein Tor-Relay über IPv6 erreichbar, indem du eine zusätzliche ORPort-Leitung zu deiner Konfiguration hinzufügst (Beispiel für ORPort 9001):

ORPort [IPv6-address]:9001

Die Position dieser Zeile in der Konfigurationsdatei spielt keine Rolle. Du kannst es einfach an die ersten ORPort-Zeilen in deiner torrc-Datei anhängen.

Hinweis: Du musst deine IPv6-Adresse explizit in eckigen Klammern angeben, du kannst Tor nicht sagen, dass es sich an irgendein IPv6 binden soll (wie du es bei IPv4 tust). Wenn du eine globale IPv6-Adresse hast, solltest du sie in der Ausgabe des folgenden Befehls finden können:

ip -6 addr | grep global | sed 's/inet6//;s#/.*##'

Wenn du ein Exit-Relay mit IPv6-Verbindung bist, sag deinem Tor-Daemon, dass er das Verlassen über IPv6 erlauben soll, damit Clients IPv6-Ziele erreichen können:

IPv6Exit 1

Hinweis: Tor erfordert IPv4-Konnektivität, du kannst kein Tor-Relay nur über IPv6 betreiben.

9. Instandhaltung eines Relays

Datensicherung der Tor-Identitätsschlüssel

Nach der Erstinstallation und dem Start des Tor-Daemons ist es eine gute Idee, eine Datensicherung der Langzeit-Identitätsschlüssel deines Relays zu machen. Sie befinden sich im Unterordner "keys" deines Datenverzeichnisses (mach einfach eine Kopie des gesamten Ordners und speichere ihn an einem sicheren Ort). Da Relays eine Hochlaufphase haben, ist es sinnvoll, den Identitätsschlüssel zu sichern, um den Ruf deines Relays nach einem Festplattenausfall wiederherstellen zu können - sonst müsstest du die Hochlaufphase erneut durchlaufen. Mach dies nur, wenn du deine Schlüssel an einem sehr sicheren Ort aufbewahrst, denn wenn sie gestohlen werden, könnten diese Schlüssel theoretisch die Entschlüsselung des Datenverkehrs oder die Identitätsfeststellung ermöglichen.

Standard-Speicherorte des Schlüsselordners:

  • Debian/Ubuntu: /var/lib/tor/keys
  • FreeBSD: /var/db/tor/keys
  • OpenBSD: /var/tor/keys
  • Fedora: /var/lib/tor/keys

Abonniere die Tor-announce-Mailingliste

Dies ist eine Mailingliste mit sehr wenig Verkehr, und du bekommst Informationen über neue stabile Tor-Veröffentlichungen und wichtige Informationen zu Sicherheitsupdates: tor-announce.

Einrichten von Ausfallbenachrichtigungen

Wenn du dein Relay einmal eingerichtet hast, wird es wahrscheinlich ohne viel Arbeit von deiner Seite aus laufen. Wenn etwas schief geht, ist es gut, wenn man automatisch benachrichtigt wird. Wir empfehlen die Verwendung von Tor Weather, einem vom Tor-Projekt entwickelten Benachrichtigungsdienst. Es hilft Relay-Betreibern, benachrichtigt zu werden, wenn ihre Relays oder Brücken offline sind, sowie bei anderen Vorfällen.

Eine andere Möglichkeit ist die Nutzung eines der kostenlosen Dienste, mit denen du die ORPorts deines Relays auf Erreichbarkeit überprüfen und dir eine E-Mail schicken kannst, wenn sie aus irgendeinem Grund nicht erreichbar sind. UptimeRobot ist einer dieser Dienste, die es dir ermöglichen, TCP-Listener auf beliebigen Anschlüssen zu überwachen. Dieser Dienst kann deine konfigurierten Anschlüsse alle 5 Minuten überprüfen und dir eine E-Mail schicken, falls dein Tor-Prozess abstürzt oder unerreichbar wird. Dies prüft nur für den Listener, spricht aber nicht das Tor-Protokoll.

Eine gute Möglichkeit, ein Relay auf seinen Gesundheitszustand zu überwachen, ist ein Blick auf seine Bandbreitengrafiken.

Überwachung des Systemzustands

Um sicherzustellen, dass dein Relay funktionstüchtig und nicht überlastet ist, ist es sinnvoll, eine grundlegende Systemüberwachung zu haben, um die folgenden Parameter im Auge zu behalten:

  • Bandbreite
  • Hergestellte TCP-Verbindungen
  • Speicher
  • Swap
  • CPU

Es gibt viele Werkzeuge zur Überwachung dieser Art von Daten, Munin ist eines davon und relativ einfach einzurichten.

Hinweis: Mach deine privaten Überwachungsdaten-Grafiken nicht öffentlich, da dies Angreifern bei der Deanonymisierung von Tor-Benutzern helfen könnte.

Einige praktische Ratschläge:

  • Wenn du Verkehrsstatistiken veröffentlichen möchtest, solltest du den gesamten Verkehr deiner Relays über mindestens eine Woche zusammenfassen und dann auf die nächsten 10 TB (Terabyte) aufrunden.
  • Die Berichterstattung über einzelne Relays ist schlechter als die Berichterstattung über die Gesamtzahlen für Gruppen von Relays. In Zukunft wird Tor die Bandbreitenstatistiken auf sichere Weise zusammenfassen, so dass die Berichterstattung über die Bandbreite einzelner Relays weniger sicher sein wird als die Statistiken von Tor.
  • Kleinere Perioden sind schlechter.
  • Zahlen sind schlechter als Diagramme.
  • Echtzeitdaten sind schlechter als historische Daten.
  • Daten in Kategorien (IP-Version, in/out, etc.) sind schlechter als die Gesamtdaten.

Werkzeuge

Dieser Abschnitt listet einige Werkzeuge auf, die du als Tor-Relay-Betreiber nützlich finden könntest.

  • Nyx: ist ein Werkzeug des Tor Project (ehemals Arm), das es dir erlaubt, die Echtzeitdaten deines Relays zu sehen.

  • vnstat: vnstat ist ein Befehlszeilenwerkzeug, das die Menge der Daten anzeigt, die über deine Netzwerkverbindung gehen. Du kannst damit auch PNG-Bilder mit Verkehrsdiagrammen erzeugen. vnstat-Dokumentation und Demo-Ausgabe.