1. Habilite atualizações automáticas de software

Uma das coisas mais importantes para manter seu relé seguro é instalar atualizações de segurança em tempo hábil e, de preferência, automaticamente, para que você não se esqueça delas. Siga as instruções para habilitar atualizações automáticas de software para seu sistema operacional.

2. Configurar o repositório do projeto Tor

Configuring the Tor Project's package repository for Debian/Ubuntu is recommended and documented on Support portal. Please follow those instructions before proceeding.

Observação: usuários do Ubuntu precisam obter o Tor do repositório do Projeto Tor.

3. Instale o Tor

Certifique-se de atualizar o banco de dados de pacotes antes de instalar o pacote e, em seguida, chame apt para instalá-lo:

# apt update
# apt install tor

4. Instale obfs4proxy

No Debian, o pacote obfs4proxy está disponível em instável, teste e estável. No Ubuntu, bionic, cosmic, disco, eoan e focal têm o pacote. Se você estiver executando qualquer um deles, sudo apt-get install obfs4proxy deve funcionar.

Caso contrário, você pode construí-lo a partir do código-fonte.

5. Edite seu arquivo de configuração do Tor, geralmente localizado em /etc/tor/torrc e substitua seu conteúdo por:

BridgeRelay 1

# Substitua "TODO1" por uma porta Tor de sua escolha.
# Esta porta deve ser acessível externamente.
# Evite a porta 9001 porque ela é comumente associada ao Tor e os censores podem estar escaneando a Internet em busca dessa porta.
ORPort TODO1

ServerTransportPlugin obfs4 exec /usr/bin/obfs4proxy

# Substitua "TODO2" por uma porta obfs4 de sua escolha.
# Esta porta deve ser acessível externamente e deve ser diferente daquela especificada para ORPort.
# Evite a porta 9001 porque ela é comumente associada ao Tor e os censores podem estar escaneando a Internet em busca dessa porta.
ServerTransportListenAddr obfs4 0.0.0.0:TODO2

# Porta de comunicação local entre Tor e obfs4. Sempre defina como "automático".
# "Ext" significa "estendido", não "externo". Não tente definir uma porta específica, nem escutar em 0.0.0.0.
ExtORPort auto

# Substitua "<address@email.com>" pelo seu endereço de e-mail para que possamos entrar em contato caso haja problemas com sua ponte.
# Isso é opcional, mas é incentivado.
ContactInfo <address@email.com>

# Escolha um nome que você gosta para sua bridge. Isso é opcional.
Nickname PickANickname

Não se esqueça de alterar as opções ORPort, ServerTransportListenAddr, ContactInfo e Nickname.

Observe que tanto a porta OR do Tor quanto sua porta obfs4 devem estar acessíveis. Se a sua ponte estiver protegida por um firewall ou NAT, certifique-se de abrir ambas as portas. Você pode usar nosso teste de acessibilidade para verificar se a sua porta obfs4 está acessível pela internet.

(Opcional) Configure o systemd para permitir a vinculação obfs4 em portas privilegiadas

Se você decidir usar uma porta obfs4 fixa menor que 1024 (por exemplo, 80 ou 443), será necessário configurar o systemd e dar ao obfs4 recursos CAP_NET_BIND_SERVICE para vincular a porta a um usuário não root:

sudo setcap cap_net_bind_service=+ep /usr/bin/obfs4proxy

Para contornar o reforço do systemd, você também precisará editar e alterar a configuração.

Execute o comando:

sudo systemctl edit tor@.service tor@default.service

No editor, insira o seguinte texto, salve e saia.

[Service]
NoNewPrivileges=no

No segundo editor que aparecer, digite o mesmo texto, salve e saia.

[Service]
NoNewPrivileges=no

Se tudo funcionou corretamente, agora você terá dois arquivos /etc/systemd/system/tor@.service.d/override.conf e /etc/systemd/system/tor@default.service.d/override.conf contendo o texto que você digitou.

Agora reinicie o serviço tor:

sudo service tor restart

Não há necessidade de executar systemctl daemon-reload porque systemctl edit faz isso automaticamente. Para mais detalhes, veja ticket 18356.

6. Reinicie o Tor

Habilitar e iniciar tor:

# systemctl enable --now tor.service

Ou reinicie-o se ele já estiver em execução, para que as configurações entrem em vigor:

# systemctl restart tor.service

7. Monitore seus registros

Para confirmar se sua ponte está funcionando sem problemas, você deve ver algo assim (geralmente em /var/log/syslog ou executar # journalctl -e -u tor@default):

[notice] Your Tor server's identity key fingerprint is '<NICKNAME> <FINGERPRINT>'
[notice] Your Tor bridge's hashed identity key fingerprint is '<NICKNAME> <HASHED FINGERPRINT>'
[notice] Registered server transport 'obfs4' at '[::]:46396'
[notice] Tor has successfully opened a circuit. Looks like client functionality is working.
[notice] Bootstrapped 100%: Done
[notice] Now checking whether ORPort <redacted>:3818 is reachable... (this may take up to 20 minutes -- look for log messages indicating success)
[notice] Self-testing indicates your ORPort is reachable from the outside. Excellent. Publishing server descriptor.

8. Notas Finais

Se você estiver tendo problemas para configurar sua ponte, dê uma olhada em nossa seção de ajuda. Se sua ponte estiver funcionando, confira as notas pós-instalação.