1. Переконайтеся, що порти реле доступні

Якщо ви використовуєте брандмауер, відкрийте дірку в брандмауері, щоб вхідні з’єднання могли досягати портів, які ви використовуватимете для реле (ORPort).

Також переконайтеся, що ви також дозволили всі вихідні з’єднання, щоб ваш ретранслятор міг зв’язатися з іншими ретрансляторами, клієнтами та пунктами призначення Tor.

Ви можете знайти конкретний номер TCP-порту ORPort на сторінці налаштування (у розділах, що стосуються ОС).

2. Переконайтеся, що ваше реле працює

Якщо ваш файл журналу (syslog) містить наступний запис після запуску демона tor, ретрансляція має працювати належним чином:

Self-testing indicates your ORPort is reachable from the outside. Excellent.
Publishing server descriptor.

Приблизно через 3 години після запуску ретрансляції воно має з’явитися в Пошуку реле на порталі Metrics. Ви можете шукати свій реле за своїм псевдонімом або IP-адресою.

3. Прочитайте про життєвий цикл ретрансляції Tor

Потрібен деякий час для збільшення трафіку ретрансляції, особливо це стосується захисних реле, але меншою мірою також і вихідних реле. Щоб зрозуміти цей процес, прочитайте про життєвий цикл нового реле.

4. Управління конфігурацією

Якщо ви плануєте запустити більше ніж одну ретрансляцію, або ви хочете запустити ретрансляцію великої потужності (кілька екземплярів Tor на сервер) або хочете використовувати надійні функції безпеки, такі як Offline Master Keys. /projects/tor/wiki/doc/TorRelaySecurity/OfflineKeys), не виконуючи додаткових кроків вручну, ви можете скористатися керуванням конфігурацією для кращої зручності обслуговування.

Існує кілька рішень керування конфігурацією для операційних систем на основі Unix (Ansible, Puppet, Salt, ...).

Наступну роль Ansible було створено спеціально для операторів ретрансляції Tor і підтримує кілька операційних систем: Ansible Relayor.

5. Важливо: якщо ви запускаєте більше ніж один екземпляр Tor

Щоб уникнути ризику для клієнтів Tor, під час роботи з декількома реле ви повинні встановити правильне значення MyFamily і мати дійсне значення ContactInfo у вашій конфігурації torrc. Налаштування MyFamily просто повідомляє клієнтам Tor, які ретранслятори Tor контролюються одним об’єктом/оператором/організацією, тому вони не використовуються на кількох позиціях в одній схемі.

Якщо ви запустите два реле і вони мають відбитки пальців AAAAAAAAAA та BBBBBBBB, ви повинні додати таку конфігурацію, щоб налаштувати MyFamily:

MyFamily AAAAAAAAAA,BBBBBBBB

до обох реле. Щоб знайти відбиток вашого ретранслятора, ви можете переглянути файли журналу під час запуску Tor або знайти файл під назвою «fingerprint» у вашому Tor DataDirectory.

Замість того, щоб робити це вручну, великим операторам ми рекомендуємо автоматизувати налаштування MyFamily за допомогою рішення для керування конфігурацією. Керування MyFamily вручну для великих груп ретрансляторів є схильним до помилок і може поставити під загрозу клієнтів Tor.

6. Додайте правила брандмауера для захисту від DDoS-атак

Було показано, що налаштування вашого брандмауера на блокування занадто великої кількості одночасних з’єднань значно допомагає впоратися з DDoS-атаками на ретранслятори.

Розгляньте можливість впровадження одного з таких механізмів:

Примітка. Це ресурси, надані спільнотою. Ви повинні ретельно перевірити їх перед застосуванням у вашій системі. Крім того, майте на увазі, що ці правила показали ефективність для конкретних атак, які мали місце в минулому. Атаки постійно розвиваються і часто потребують нових правил, тому, будь ласка, залишайтеся на зв’язку, щоб оновлювати їх у разі потреби, або підписавшись на відповідний проект, або підписавшись на tor-relays список розсилки.

7. Додатково: обмеження використання пропускної здатності (і трафіку)

За замовчуванням Tor не обмежує використання пропускної здатності, але підтримує кілька способів обмеження використовуваної пропускної здатності та обсягу трафіку. Це може бути зручно, якщо ви хочете переконатися, що ваше реле Tor не перевищує певну пропускну здатність або загальний трафік на день/тиждень/місяць. Наступні параметри конфігурації torrc можна використовувати для обмеження пропускної здатності та трафіку:

  • AccountingMax
  • AccountingRule
  • AccountingStart
  • BandwidthRate
  • BandwidthBurst
  • RelayBandwidthRate

Наявність швидкого реле протягом деякого часу місяця є кращим, ніж повільне реле протягом усього місяця.

Також перегляньте запис про пропускну здатність у FAQ.

8. Перевірте доступність IPv6

Ми заохочуємо всіх увімкнути IPv6 на своїх ретрансляторах. Це особливо цінно на вихідних і захисних реле.

Перш ніж увімкнути демон Tor для використання IPv6 на додачу до IPv4, ви повинні виконати деякі базові тести підключення IPv6.

Наступний командний рядок перевірить IPv6-адреси авторизованих каталогів Tor із вашого сервера:

ping6 -c2 2001:858:2:2:aabb:0:563b:1526 && ping6 -c2 2620:13:4000:6000::1000:118 && ping6 -c2 2001:67c:289c::9 && ping6 -c2 2001:678:558:1000::244 && ping6 -c2 2001:638:a000:4140::ffff:189 && echo OK.

У кінці результату ви повинні побачити «OK». якщо це не так, не вмикайте IPv6 у файлі конфігурації torrc, доки IPv6 справді не запрацює. Якщо ви ввімкнете IPv6 без працюючого підключення IPv6, уся ваша ретрансляція залишиться невикористаною, незалежно від того, чи працює IPv4.

Якщо це спрацювало нормально, зробіть свій ретранслятор Tor доступним через IPv6, додавши додатковий рядок ORPort до вашої конфігурації (приклад для ORPort 9001):

ORPort [IPv6-address]:9001

Розташування цього рядка у файлі конфігурації не має значення. Ви можете просто додати його поруч із першими рядками ORPort у вашому файлі torrc.

Примітка: Ви повинні явно вказати свою IPv6-адресу в квадратних дужках, ви не можете сказати tor прив’язуватися до будь-якого IPv6 (як ви робите для IPv4). Якщо у вас є глобальна адреса IPv6, ви зможете знайти її у виводі такої команди:

ip -6 addr | grep global | sed 's/inet6//;s#/.*##'

Якщо ви є ретранслятором виходу з підключенням IPv6, повідомте своєму демону tor дозволити вихід через IPv6, щоб клієнти могли досягати місць призначення IPv6:

IPv6Exit 1

Примітка: Tor вимагає з’єднання IPv4, ви не можете запустити ретрансляцію Tor тільки на IPv6.

9. Обслуговування реле

Резервне копіювання ключів ідентифікації Tor

Після початкового встановлення та запуску фонової служби Tor доцільно зробити резервну копію довгострокових ключів ідентифікації вашого ретранслятора. Вони розташовані у підпапці «keys» вашого DataDirectory (просто зробіть копію всієї папки та збережіть її в безпечному місці). Оскільки ретранслятори мають час розгортання, є сенс створити резервну копію ключа ідентифікації, щоб мати можливість відновити репутацію вашого ретранслятора після збою диска — в іншому випадку вам доведеться проходити через фазу розгортання знову. Робіть це, лише якщо у вас є дуже безпечне місце для ваших ключів, якби вони були вкрадені, ці ключі теоретично можуть дозволити розшифровку трафіку або видати себе за іншу особу.

Типове розташування папки ключів:

  • Debian/Ubuntu: /var/lib/tor/keys
  • FreeBSD: /var/db/tor/keys
  • OpenBSD: /var/tor/keys
  • Fedora: /var/lib/tor/keys

Підписатися на поштову розсилку tor-announce

Це список розсилки з дуже низьким трафіком, і ви отримуватимете інформацію про нові стабільні випуски Tor і важливу інформацію про оновлення безпеки: tor-announce.

Налаштування повідомлень про збій

Щойно ви налаштуєте своє реле, воно, ймовірно, працюватиме без особливих зусиль з вашого боку. Якщо щось піде не так, добре отримати сповіщення автоматично. Ми рекомендуємо використовувати Tor Weather, службу сповіщень, розроблену Tor Project. Це допомагає операторам ретрансляторів отримувати сповіщення, коли їхні реле або мости не працюють, а також про інші інциденти.

Іншим варіантом є використання однієї з безкоштовних служб, які дозволяють перевірити доступність ORP-портів вашого реле та надіслати вам електронний лист, якщо вони стануть недоступними. UptimeRobot є однією з цих служб, які дозволяють відстежувати слухачі TCP на довільних портах. Це перевіряє лише слухача, але не говорить протокол Tor.

Хороший спосіб відстежити стан працездатності реле – це переглянути його графіки пропускної здатності.

Моніторинг стану системи

Щоб переконатися, що ваше реле справне та не перевантажене, має сенс мати базовий моніторинг системи, щоб стежити за такими показниками:

  • Пропускна здатність
  • Встановлені з'єднання TCP
  • Пам'ять
  • Обмін
  • ЦП

Існує багато інструментів для моніторингу такого роду даних, munin є одним із них, і його відносно легко налаштувати.

Примітка: Не публікуйте ваші приватні графіки даних моніторингу, оскільки це може допомогти зловмисникам деанонімізувати користувачів Tor.

Деякі практичні поради:

  • Якщо ви хочете опублікувати статистику трафіку, вам слід агрегувати трафік ваших ретрансляторів принаймні за день або використовувати більші вікна агрегації для пропускної здатності, якщо це можливо, і поєднати графіки/статистику для кількох ретрансляторів, де це можливо.
  • Звітування про окремі реле гірше, ніж звітування про загальні дані для груп реле. У майбутньому tor безпечно збиратиме статистику пропускної здатності, тому будь-яке звітування про пропускну здатність окремого реле буде менш безпечним, ніж статистика tor.
  • Менші менструації гірші.
  • Цифри гірші за графіки.
  • Дані в реальному часі гірші за історичні.
  • Дані в категоріях (версія IP, вхід/вихід тощо) гірші, ніж загальні дані.

Засоби

У цьому розділі наведено кілька інструментів, які можуть стати в нагоді вам як оператору ретрансляції Tor.

  • Nyx: це інструмент проекту Tor (раніше arm), який дозволяє переглядати дані вашого реле в реальному часі.

  • vnstat: vnstat — це інструмент командного рядка, який показує обсяг даних, що проходять через ваше мережеве з’єднання. Ви також можете використовувати його для створення зображень у форматі PNG із графіками трафіку. документація vnstat і демонстраційний вихід.

Дізнайтеся, як налаштувати FamilyID ваших реле