blog:tor_node_1

Status

expired 2024-05-24

Owner

em1qr7enmthxg0t7h349wf8e5wralf05sfhcpcywyv

Expires at

block 666996

Last change

5ace8faa1ead…9a37cabeb401

Value

 Для нашей ноды я выбрал хостинг http://www.dataclub.biz/, как достаточно дешевый хостинг принимающий Bitcoin'ы, беспроблемный и не имеющий лишних заморочек. Вы можете выбрать любой другой хостинг с удобными вам методами оплаты (я рекомендую оплату биткоинами, либо через анонимный ЯД кошелек с закидыванием туда денег через терминал).\n\nРегистрация почты\nПервым делом зарегистрируем новый email на сервисе https://www.safe-mail.net/ (вы можете выбрать любой другой, но русскоязычные почтовые сервисы нежелательны). Сразу после регистрации почты идем на вкладку Preferences и отключаем IP checks, потому что мы будем пользоваться этой почтой через Tor, также включаем доступ через POP3 и разрешаем POP3 клиенту удалять сообщения с сервера. Зайдите в Preferences -> Mail Filtering и отключите антиспам, он часто удаляет нужные письма. Дальше можете работать с почтой через POP3s/SMTPs (почтовый сервер rimon.safe-mail.net), либо через веб интерфейс.\nДанные почты сохраняем, она вам понадобится в будущем, желательно ее регулярно проверять. На почту будут приходить уведомления от хостера и от Tor project.\n\nПокупка сервера\nДля нашей будущей ноды я выбрал самый дешевый VPS \"Basic package\" с характеристиками \"4CPU, 512 MB RAM, Unlimited Traffic, 10 GB Disk Space, Based on OpenVZ\" ценой 12.97$ в месяц. Этого хватит чтобы пропускать через нашу ноду до 50 мегабит трафика, но хостер ограничивает пропускную способность на уровне 20 мегабит, мы настроим на 15, сильно наглеть не стоит, на VPS ресурсы общие и хостер может быть не в восторге от их черезмерного использования.\nВыбираем операционную систему Debian и период оплаты 6 месяцев, за что нам дадут 10% скидку. Местоположение сервера - Латвия (там дешевле), дополнительных IP, cPanel и Additional HDD space не нужно. На следующей странице регистрируемся, оплачиваем через Bitcoin и копируем ID транзакции на страницу оплаты. Получаем сообщение:\n\nThank you! Your order was accepted, awaiting activation!\nPlease wait, you will receive an email when the service will be activated.\nThe activation takes 2 hours in working hours* and 12 hours in free hours*.\n\nЖдем письма с данными для доступа к серверу и VPS Admin Account. Если письмо не пришло в течении суток, нужно написать в техподдержку.\n\nНастройка сервера\nИтак, мы получили сервер, теперь заходим на него по SSH (если у вас Windows, используйте PuTTY).\nВнимание! не забудьте пустить SSH соединение через Tor! Иначе на этом шаге вы потеряете анонимность.\n\nlogin as: root\nroot@46.183.218.141's password:\nLinux ip-218-141 2.6.32-042stab068.8 #1 SMP Fri Dec 7 17:06:14 MSK 2012 i686\n\nThe programs included with the Debian GNU/Linux system are free software;\nthe exact distribution terms for each program are described in the\nindividual files in /usr/share/doc/*/copyright.\n\nDebian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent\npermitted by applicable law.\nroot@ip-218-141:~#\n\nПервым делом нужно сменить пароль с помощью команды passwd. Для лучшей безопасности следует настроить авторизацию по ключам, но это не принципиально и я не буду про это рассказывать, ищите в гугле.\n\nroot@ip-218-141:~# passwd root\nEnter new UNIX password:\nRetype new UNIX password:\npasswd: password updated successfully\n\nТеперь посмотрим чего на сервере есть лишнего и удаляем это. Чем меньше левого софта, тем меньше уязвимостей и впустую потраченных ресурсов.\n\nroot@ip-218-141:~# ps aux\nUSER PID %CPU %MEM VSZ RSS TTY STAT START TIME COMMAND\nroot 1 0.0 0.3 3136 1788 ? Ss 02:48 0:00 init\nroot 2 0.0 0.0 0 0 ? S 02:48 0:00 [kthreadd/591]\nroot 3 0.0 0.0 0 0 ? S 02:48 0:00 [khelper/591]\nroot 84 0.0 0.1 2388 788 ? S 02:48 0:00 upstart-udev-bridge --daemon\nroot 90 0.0 0.1 2356 980 ? Ss 02:48 0:00 /sbin/udevd --daemon\nroot 121 0.0 0.1 2352 728 ? S 02:48 0:00 /sbin/udevd --daemon\nroot 122 0.0 0.1 2352 724 ? S 02:48 0:00 /sbin/udevd --daemon\nroot 363 0.0 0.1 2380 644 ? S 02:48 0:00 upstart-socket-bridge --daemon\nroot 1561 0.0 0.2 6336 1056 ? Ss 02:48 0:00 /usr/sbin/sshd\nroot 1591 0.0 0.2 33848 1480 ? Sl 02:48 0:00 /usr/sbin/rsyslogd -c5\nroot 1636 0.0 0.1 10024 808 ? Ss 02:48 0:00 /usr/sbin/saslauthd -a pam -c -m /var/run/saslauthd -n 2\nroot 1637 0.0 0.0 10024 452 ? S 02:48 0:00 /usr/sbin/saslauthd -a pam -c -m /var/run/saslauthd -n 2\nroot 1789 0.0 0.3 9924 1632 ? Ss 02:48 0:00 sendmail: MTA: accepting connections\nroot 1860 0.0 0.1 2460 848 ? Ss 02:49 0:00 /usr/sbin/xinetd -pidfile /var/run/xinetd.pid -stayalive -inetd_compat -inetd_ipv6\nroot 1893 0.0 0.5 5620 2648 ? Ss 02:49 0:00 /usr/sbin/apache2 -k start\nwww-data 1897 0.0 0.3 5644 2052 ? S 02:49 0:00 /usr/sbin/apache2 -k start\nroot 1937 0.0 0.1 2176 880 ? Ss 02:49 0:00 /usr/sbin/cron\nroot 2245 0.0 0.6 9136 3368 ? Rs 05:46 0:00 sshd: root@pts/0\nroot 2247 0.0 0.3 3028 1664 pts/0 Ss 05:46 0:00 -bash\nroot 2267 0.0 0.1 2684 968 pts/0 R+ 05:58 0:00 ps aux\nroot@ip-218-141:~# netstat -ltupn\nActive Internet connections (only servers)\nProto Recv-Q Send-Q Local Address Foreign Address State PID/Program name\ntcp 0 0 127.0.0.1:25 0.0.0.0:* LISTEN 1789/sendmail: MTA:\ntcp 0 0 127.0.0.1:587 0.0.0.0:* LISTEN 1789/sendmail: MTA:\ntcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 1893/apache2\ntcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1561/sshd\ntcp6 0 0 :::22 :::* LISTEN 1561/sshd\nroot@ip-218-141:~#\n\nЛишними являются процессы saslauthd, sendmail, apache2, xinetd.\n\napt-get remove apache2 apache2-mpm-prefork apache2-doc apache2-utils apache2.2-bin apache2.2-common\napt-get remove sendmail sendmail-base sendmail-bin sendmail-cf sendmail-doc\napt-get remove sasl2-bin\napt-get remove xinetd\napt-get remove samba samba-common\napt-get autoremove\nreboot\n\nПодключившись после перезагрузки, снова проверяем наличие лишних процессов и открытых портов:\n\n------------------------------------------------------\n\nВ процессах нет ничего лишнего, из открытых портов только SSH. Теперь нужно обновить систему, не будем полагаться на свежесть дистрибутива у хостера. Это обязательно нужно сделать, чтобы не получить уязвимую конфигурацию. Также установим утилиты, которые понадобятся в дальнейшем.\n\napt-get update && apt-get upgrade\napt-get install nano iftop iperf\nreboot\n\nУстановка и настройка Tor\nТеперь можно устанавливать Tor. Определяем версию Debian, добавляем соответствующий репозиторий в /etc/apt/sources.list, импортируем ключ подписи пакета и устанавливаем Tor:\n\nroot@ip-218-141:~# lsb_release -c\nCodename: wheezy\necho \"deb http://deb.torproject.org/torproject.org wheezy main\" >> /etc/apt/sources.list\ngpg --keyserver keys.gnupg.net --recv 886DDD89\ngpg --export A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89 | apt-key add -\napt-get update\napt-get install deb.torproject.org-keyring\napt-get install tor\n\nTor установлен, теперь его нужно сконфигурировать для работы в серверном режиме. Если процессор сервера поддерживает систему команд AES-NI, нужно включить ее использование, это снизит нагрузку на процессор и повысит благожелательность хостера к нашей затее. Подробнее читайте в статье на torservers.net, я же приведу конфигурацию для моего случая.\n\nКонфиг Tor хранится в файле /etc/tor/torrc, отредактировать его можно командой nano /etc/tor/torrc. В моем случае получился такой конфиг:\n\nORPort 443\nDirPort 80\nExitPolicy reject *:*\nBandwidthRate 960 KBytes\nBandwidthBurst 1280 KBytes\nHardwareAccel 1\nNickname Runion\nContactInfo runionnode(nospam)@safe-mail.net\n\nПараметр BandwidthRate определяет среднюю пропускную способность ноды (сколько трафика нода будет потреблять когда разгонится), BandwidthBurst максимальную (лимит, выше которого трафику нельзя подниматься). Скорости указываются в килобайтах в секунду в одном направлении. Чтобы перевести привычные нам мегабиты пропускной способности сети в эти значения, умножаем их на 64 (1024 / 8 килобайт в мегабите / 2 направления = 64). Указанные параметры задают трафик ноды в диапазоне 15-20 мегабит в секунду. ORPort / DirPort - порты на которых работает Tor (подробнее в мануале). На нашем сервере нет ничего кроме Tor ноды, поэтому используем порты 443/80 (они реже бывают заблокированы у пользователей), но можно использовать любые другие (стандартными считаются 9001 / 9030). Параметр HardwareAccel включает использование AES-NI. Nickname - имя, под которым наша нода будет присутствовать в статистике, ContactInfo - контактный адрес, по которому Tor team может связаться с вами, если с нодой что-то не в порядке. Последние два параметра не обязательны, но желательно их указать.\nСохраним конфиг, перезапустим Tor и смотрим логи:\n\n/etc/init.d/tor restart\ncat /var/log/tor/log\n\nApr 19 07:13:51.000 [notice] Tor 0.2.4.21 (git-c5a648cc6f218339) opening log file.\nApr 19 07:13:51.000 [notice] Parsing GEOIP IPv4 file /usr/share/tor/geoip.\nApr 19 07:13:52.000 [notice] Parsing GEOIP IPv6 file /usr/share/tor/geoip6.\nApr 19 07:13:52.000 [notice] Configured to measure statistics. Look for the *-stats files that will first be written to the data directory in 24 hours from now.\nApr 19 07:13:52.000 [notice] Your Tor server's identity key fingerprint is 'Runion 7C1F6A238E8155AE10CBA88D225CCB94722BF645'\n...\n...\nApr 19 07:13:59.000 [notice] Tor has successfully opened a circuit. Looks like client functionality is working.\nApr 19 07:13:59.000 [notice] Bootstrapped 100%: Done.\nApr 19 07:13:59.000 [notice] Now checking whether ORPort 46.183.218.141:443 and DirPort 46.183.218.141:80 are reachable... (this may take up to 20 minutes -- look for log messages indicating success)\nApr 19 07:13:59.000 [notice] Self-testing indicates your DirPort is reachable from the outside. Excellent.\nApr 19 07:13:59.000 [notice] Self-testing indicates your ORPort is reachable from the outside. Excellent. Publishing server descriptor.\nApr 19 07:14:04.000 [notice] Performing bandwidth self-test...done.\n\nНода запустилась и работает. Через несколько часов она появится в общей статистике, и можно будет ее зарегистрировать в сервисе мониторинга Tor нод Tor Weather. Он рассылает автоматические оповещения на email при падении ноды, слишком медленной работе, устаревании версии Tor, или обнаружении критических уязвимостей. Регистрироваться не обязательно, но желательно, если вы не собираетесь круглосуточно присматривать за нодой вручную.\n\nПросмотр статистики и управление\nЛокально вы можете посмотреть загрузку процессора/памяти (команда top), загрузку сети (команда iftop -n) и логфайл Tor (cat /var/log/tor/log). В логах будет аптайм, объем пропущенного трафика, количество обработанных соединений и сообщения об ошибках.\nДругие команды которые понадобятся при администрировании:\nnetstat -antpu - список соединений вместе с процессами\nnetstat -ltupn - список открытых портов вместе с процессами\nnano /etc/tor/torrc - редактировать конфиг Tor\nkillall -s HUP tor - перечитать конфиг Tor без перезапуска. Можно применить новые параметры без разрыва открытых соединений и потери аптайма.\n/etc/init.d/tor restart - перезапустить Tor. Это следует делать при смене рабочих портов, ключей, и других серьезных изменениях.\n\nУвидеть вашу ноду в общей онлайн статистике можно на https://atlas.torproject.org/ и https://torstatus.rueckgr.at/.\nСтатистика ноды Runion на atlas.torproject.org, на torstatus.rueckgr.at.\nНа третий день стабильного аптайма нода получает Stable флаг, на седьмой - Guard флаг, трафик достигает заданного максимума в среднем через 2 недели. Подробнее читайте в статье The lifecycle of a new relay.\n\nProfit от собственной ноды, повышаем свою анонимность\nВ Tor блоге была статья Improving Tor's anonymity by changing guard parameters. В ней рассматривалась зависимость долговременной анонимности от количества и периода смены Guard нод. Был сделан вывод, что чем меньше Guard'ов использует клиент и чем реже он их меняет, тем меньше шанс случайной компрометации соединений. Наилучшая анонимность достигается при использовании одной постоянной Guard ноды.\nПравильный выбор Guard нод крайне важен для анонимности при постоянном использовании Tor, особенно - для анонимности hidden services. Многие атаки на Tor сокращают анонимность до уровня однохоповых прокси, которыми становятся Guard ноды, т.е. в этом случае важна их неподконтрольность противнику. Я предлагаю вручную выбрать и зафиксировать минимальное количество Guard'ов достаточное для стабильной работы, в отношении которых есть основания считать их безопасными.\nДля этого нужно прописать выбранные ноды в качестве бриджей в torrc. Также можно сконфигурировать бриджи из графического режима. Пример, использующий ноду Runion:\n\nUseBridges 1\nUpdateBridgesFromAuthority 0\nBridge 46.183.218.141:443 7C1F6A238E8155AE10CBA88D225CCB94722BF645 # Runion\n\nУ нас может быть

History