Tor-Exit-Node betreiben: Anleitung für Betreiber

Was ein Tor-Exit-Node tut und was das für Sie bedeutet

Ein Tor-Exit-Node ist das letzte Relay in einem Circuit: der Rechner, der die Verbindung zum Ziel öffnet. Das Ziel protokolliert daher die Adresse Ihres Servers und niemals die des Benutzers. Jede weitere Entscheidung in diesem Leitfaden ergibt sich aus dieser Tatsache. Die Adresse gilt als Quelle sämtlicher Daten, die sie passieren. Deshalb muss es sich um eine Adresse handeln, die ausschließlich dafür verwendet wird, bei einem Provider, der diesem Datenverkehr zugestimmt hat.

Der Betrieb eines Exit-Nodes ist das Gegenteil von Verbergen. Das Relay ist in einem öffentlichen Verzeichnis aufgeführt, das jeder herunterladen kann. Ihre Kontaktadresse steht dort unter ContactInfo. Ihr Reverse-DNS-Name kündigt an, wofür der Server verwendet wird. Port 80 stellt eine Seite bereit, die dasselbe aussagt. Auf Abuse-Mails antworten Sie selbst und unter Ihrem eigenen Namen. In diesem System ist niemand stärker identifizierbar als ein Exit-Betreiber. Das ist die Aufgabe. Genau deshalb funktioniert sie.

Wir betreiben solche Nodes. SSD Nodes betreibt in mehreren Ländern Exit-Relays als Beitrag zur freien Meinungsäußerung. Wir mieten diese Rechner bei Providern, die sich bewusst für Exit-Datenverkehr entschieden haben. Wir sind für diese Rechner nicht der Provider. Das ist beabsichtigt. Im nächsten Abschnitt wird erklärt, warum.

Wo ein Exit hingehört und wo nicht

Ein Exit gehört nicht auf einen VPS (virtuellen privaten Server) für allgemeine Zwecke. Das gilt auch für unsere Systeme. Ein allgemeines Netzwerk transportiert Websites, E-Mail, Backups und Control Panels für Tausende voneinander unabhängiger Kunden auf benachbarten Adressen. Exit-Verkehr führt dazu, dass eine dieser Adressen in Scan-Berichten und Spam-Blocklisten auftaucht. Die Folgen treffen dann die benachbarten Kunden. Anbieter, die Exits zuverlässig hosten, haben ihre Infrastruktur darauf ausgelegt: Sie reservieren dafür eigenen Adressraum und verfügen über ein Abuse-Team, das Tor bereits kennt.

Wenn ein Host, auf dem dieser Leitfaden geschrieben wird, Ihnen dazu rät, die Maschine anderswo zu mieten, ist das der nützliche Teil. Wir wissen, was Exit-Verkehr mit einer Adresse macht, weil wir andere dafür bezahlen, unseren Verkehr zu übertragen. Wir bezahlen sie, weil der ordnungsgemäße Betrieb eines solchen Dienstes ein anderes Geschäft ist als der Verkauf von Servern für allgemeine Zwecke.

Das Tor Project sagt dasselbe in deutlicheren Worten. Auf der Seite zu den Relay-Typen steht, dass Exit-Relays „die größte rechtliche Belastung und Haftung aller Relays“ haben und dass „Sie kein Tor-Exit-Relay von zu Hause aus betreiben sollten“. Ein allgemeiner VPS, auf dem Ihre eigenen Projekte laufen, ist näher an Ihrem Zuhause, als es zunächst scheint. Es ist eine Maschine, die Ihnen wichtig ist, unter einer Adresse, deren Reputation Sie schützen wollen.

Wenn Sie einen gewöhnlichen VPS haben und das Netzwerk noch in dieser Woche unterstützen möchten, betreiben Sie darauf ein Relay ohne Exit-Funktion oder eine Bridge. Das ist kein Ersatz zweiter Klasse. Es handelt sich um eine andere Aufgabe mit einem anderen Risikoprofil, und das Netzwerk benötigt beides. Ein Relay ohne Exit-Funktion öffnet niemals eine Verbindung zu einem Ziel. Deshalb verursacht es nahezu keine Beschwerden. Die Tor-Dokumentation empfiehlt außerdem mindestens 2 MByte/s (Megabyte pro Sekunde) in jeder Richtung, bevor sich die Aufnahme in die Liste lohnt. Eine Bridge ist ein nicht gelisteter Einstiegspunkt für Benutzer in zensierten Netzwerken. Sie benötigt eine Verbindung rund um die Uhr und einen offenen TCP-Port (Transmission Control Protocol). Damit ist sie die wertvollste Aufgabe, die ein kleines System übernehmen kann. Beide Varianten gehören auf Hardware, die Sie bereits besitzen. Ein Exit nicht.

Wie finden Sie einen exit-freundlichen Anbieter?

Fragen Sie vor der Bestellung schriftlich nach und bewahren Sie die Antwort auf. Die Exit-Richtlinien von Tor empfehlen zwei Schritte: Fragen Sie zuerst, ob der Anbieter grundsätzlich mit einem Tor-Exit einverstanden ist. Fragen Sie anschließend, ob er dafür eine dedizierte Adresse oder einen eigenen Bereich zuweist. Wenn Sie beides gleichzeitig fragen, lautet die reflexartige Antwort häufig Nein.

Vier Fragen zeigen, ob ein Anbieter dafür tatsächlich eingerichtet ist.

• Weisen Sie eine dedizierte IP-Adresse zu, auf der nichts anderes gehostet wird, und setzen Sie den von mir gewünschten Reverse-DNS-Eintrag?
• Wer empfängt die Abuse-Mail, und leiten Sie sie unverändert an mich weiter, einschließlich der Adresse des Meldenden, damit ich ihm direkt antworten kann?
• Was geschieht bei der ersten Beschwerde: Leiten Sie sie an mich weiter, oder null-routen Sie die Adresse zuerst und fragen erst danach?
• Wie viele Exits befinden sich bereits in diesem Netzwerk? Die Richtlinien von Tor formulieren das eindeutig: „Es hilft nicht, wenn wir zu viele Exits bei einem kooperativen ISP bündeln.“

Die letzte Frage ist wichtiger, als es zunächst wirkt. Ein Teil des Werts eines Exits hängt von seiner Position im Netzwerk ab. Ein weiterer Exit in einem Netzwerk, das bereits fünfzig Exits beherbergt, bringt weniger als dieselbe Maschine an einem neuen Standort. Relay Search zeigt, welche Netzwerke bereits Exits betreiben. So können Sie dies vor der Entscheidung prüfen.

Holen Sie die Antworten ein, bevor Sie bezahlen, und kaufen Sie die Maschine über ein eigenes Konto, statt sie dem Konto hinzuzufügen, über das Ihre anderen Server laufen. Wie sicher VPS-Hosting ist hängt vor allem davon ab, was Sie nebeneinander betreiben. Dafür gibt es kaum ein klareres Beispiel.

Eine Adresse, eine Aufgabe

Auf der Adresse darf nichts anderes betrieben werden. Keine Website, kein Maildienst, kein VPN, kein Monitoring-Dashboard und kein persönlicher SSH-(Secure-Shell-)Jump-Host. Die Adresse wird auf Blocklisten landen. Alles andere, was dort betrieben wird, wird dadurch auf schwer nachvollziehbare Weise gestört. Eine Adresse mit nur einem Zweck verkürzt auch Ihre Antwort auf Beschwerden: Diese Adresse ist ein Exit-Relay und nichts anderes.

Erledigen Sie die üblichen Aufgaben, bevor tor installiert wird. Verwenden Sie SSH ausschließlich mit kryptografischen Schlüsseln und deaktivieren Sie die Anmeldung per Passwort. Konfigurieren Sie außerdem eine Firewall, die nur die veröffentlichten Ports zulässt. SSH auf einem VPS härten behandelt den ersten Teil. Grundlagen der ufw-Firewall behandelt den zweiten. Ein Exit veröffentlicht genau zwei Ports im Internet: den ORPort für den Tor-Verkehr und Port 80 für die Exit-Hinweisseite. Alle anderen Ports bleiben geschlossen.

Aktivieren Sie unbeaufsichtigte Aktualisierungen. Ein Exit mit einer veralteten tor-Version ist für alle Benutzer ein Problem, deren Datenverkehr über ihn geleitet wird.

sudo apt update && sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

Fügen Sie keine Protokollierung hinzu. Das Erfassen des Klartexts, der einen Exit verlässt, ist technisch einfach. Ein Betreiber darf genau das niemals tun. Die rechtliche Tor-FAQ der EFF rät Betreibern davon ab. In den Vereinigten Staaten und nach vergleichbaren Gesetzen in anderen Ländern kann die Untersuchung dieses Datenverkehrs nach den geltenden Abhörgesetzen eine Haftung begründen. Belassen Sie es bei der standardmäßigen Protokollierung von tor auf der Stufe notice und aktivieren Sie keine weitere Protokollierung.

Tor aus dem Repository des Tor Project installieren

Distributionspakete sind nicht aktuell. Verwenden Sie das eigene Repository des Tor Project, damit Sicherheitskorrekturen am Tag ihrer Veröffentlichung verfügbar sind. Im August 2026 ist die aktuelle stabile Reihe 0.4.9.

sudo apt update
sudo apt install -y apt-transport-https gnupg wget
lsb_release -cs

Geben Sie /etc/apt/sources.list.d/tor.sources ein. Ersetzen Sie noble durch den Codenamen, den lsb_release -cs ausgegeben hat:

Types: deb deb-src
URIs: https://deb.torproject.org/torproject.org/
Suites: noble
Components: main
Signed-By: /usr/share/keyrings/deb.torproject.org-keyring.gpg

Fügen Sie den Signaturschlüssel hinzu und installieren Sie anschließend:

wget -qO- https://deb.torproject.org/torproject.org/A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89.asc | gpg --dearmor | sudo tee /usr/share/keyrings/deb.torproject.org-keyring.gpg >/dev/null
sudo apt update
sudo apt install -y tor deb.torproject.org-keyring
tor --version

Das Paket deb.torproject.org-keyring hält diesen Schlüssel selbstständig aktuell. Dadurch fällt das Repository am Tag eines Schlüsselwechsels nicht aus. Wenn apt update meldet, dass dasselbe Repository zweimal konfiguriert ist, gibt es sowohl eine .list-Datei als auch eine .sources-Datei, in denen es eingetragen ist. Der Fehler durch eine doppelte deb822-Quelle erklärt, wie Sie den doppelten Eintrag entfernen.

DNS: Ihr Exit löst Namen für alle darüber laufenden Verbindungen auf

Ein Exit führt die Namensauflösung für jede darüber laufende Verbindung durch. Sein Resolver sieht dadurch einen Datenstrom mit Namen anderer Benutzer. Wenn Sie diesen Datenstrom an einen großen öffentlichen Resolver weiterleiten, übergeben Sie ihn vollständig an ein einziges Unternehmen. Genau diese Zentralisierung sollen Betreiber von Tor-Exits vermeiden. Betreiben Sie stattdessen einen validierenden, zwischenspeichernden Resolver auf dem Server.

sudo apt install -y unbound bind9-dnsutils
sudo cp /etc/resolv.conf /etc/resolv.conf.backup
echo "nameserver 127.0.0.1" | sudo tee /etc/resolv.conf
sudo chattr +i /etc/resolv.conf
sudo systemctl enable --now unbound

chattr +i markiert die Datei als unveränderlich. DHCP-Clients (Dynamic Host Configuration Protocol) und resolvconf schreiben /etc/resolv.conf nach eigenem Zeitplan neu. Ohne diese Markierung kann ein Reboot die Namensauflösung wieder auf den Resolver des Providers umstellen. Sie erhalten dabei keine Warnung. Die Anleitungen von Tor für Debian und Ubuntu aktivieren außerdem die Minimierung von Abfragenamen. Dabei sendet jeder Nameserver nur den Teil eines Namens, den er tatsächlich benötigt:

server:
    qname-minimisation: yes

Legen Sie diesen Inhalt in einer Datei unter /etc/unbound/unbound.conf.d/ ab. Prüfen Sie anschließend, ob der Resolver antwortet:

sudo systemctl restart unbound
dig +short example.com @127.0.0.1

Eine Adresse in der Antwort bedeutet, dass unbound funktioniert. Wenn unbound mit address already in use nicht startet, verwendet ein anderer Prozess Port 53. Führen Sie sudo ss -lntup | grep :53 aus und prüfen Sie, welcher Prozess diesen Port verwendet. Unter Ubuntu lauscht systemd-resolved auf 127.0.0.53. Daher entsteht kein Konflikt mit unbound auf 127.0.0.1.

Die torrc für ein Exit-Relay

Das Debian-Paket liest /etc/tor/torrc. Dies ist die vollständige Konfiguration für den Exit-Betrieb.

Nickname     exampleExit01
ORPort       443
ExitRelay    1
SocksPort    0
ContactInfo  email:tor[]example.org abuse:abuse[]example.org url:https://example.org ciissversion:3
ReducedExitPolicy 1
Log          notice syslog

Jede Zeile ist dafür relevant. Gehen Sie sie daher einzeln durch.

ORPort 443 ist der Port, über den sich andere Relays mit Ihnen verbinden. Port 443 funktioniert auch in restriktiven Netzwerken, die ungewöhnliche Ports blockieren. Ihr Relay ist dadurch für mehr Benutzer erreichbar als über den herkömmlichen Port 9001. Sie können Port 443 nur verwenden, wenn kein anderer Dienst auf diesem Server ihn benötigt. Das ist ein weiteres Argument für die dedizierte Adresse.

SocksPort 0 deaktiviert den lokalen SOCKS-Proxy. Ein Relay benötigt ihn nicht. Ein SOCKS-Port, der an einer öffentlichen Adresse lauscht, ist ein offener Proxy. Er wird innerhalb weniger Stunden gefunden und missbraucht.

ExitRelay 1 aktiviert den Exit-Betrieb. Setzen Sie die Option ausdrücklich, statt sich auf einen Standardwert zu verlassen. Dadurch ist in der Konfigurationsdatei eindeutig angegeben, welche Funktion der Server erfüllt.

ContactInfo wird im öffentlichen Verzeichnis veröffentlicht und kann von jedem gelesen werden. Schreiben Sie den Wert im Format der ContactInfo Information Sharing Specification. Dieses Format wird von den Werkzeugen des Netzwerks verarbeitet. Lassen Sie ciissversion:3 darin enthalten. Der [] anstelle von @ entspricht der Konvention dieser Spezifikation, um das automatisierte Auslesen von Adressen zu erschweren. Verwenden Sie ein Postfach, das Sie täglich lesen. Dort gehen Meldungen zu Missbrauch ein.

Wenn der Server über funktionierendes IPv6 verfügt, fügen Sie einen IPv6-ORPort hinzu und aktivieren Sie IPv6-Exit-Verbindungen. Lassen Sie beides weg, wenn dies nicht der Fall ist. Ein Relay, das eine Adresse veröffentlicht, die es tatsächlich nicht verwenden kann, besteht seinen eigenen Erreichbarkeitstest nicht.

ORPort   [2001:db8::1]:443
IPv6Exit 1

Exit-Richtlinie: Welche Ports zugelassen werden

Die Exit-Richtlinie ist die Liste der Ziele, zu denen Ihr Relay Verbindungen herstellen darf. Tor liest sie von oben nach unten, und die erste passende Regel wird angewendet. ReducedExitPolicy 1 wählt eine kuratierte Liste von ungefähr siebzig Ports aus, die Web, Mail-Übermittlung, Chat und Git abdecken. Die Ports, die für die meisten Beschwerden sorgen, sind darin nicht enthalten. Das ist der richtige Ausgangspunkt für einen ersten Exit.

Zwei Regeln sollten Sie namentlich kennen. ExitPolicyRejectPrivate ist standardmäßig aktiviert. Die Regel verhindert, dass der Exit Verbindungen zu privaten Adressbereichen und zu den eigenen Adressen des Relays herstellt. Dadurch kann Ihr Exit nicht auf das interne Netzwerk Ihres Providers zugreifen. Port 25 (SMTP, Simple Mail Transfer Protocol) wird abgelehnt und sollte abgelehnt bleiben. Wenn Sie ihn zulassen, wird das Relay zu einer Spamquelle, und die Adresse landet innerhalb weniger Tage auf Blocklisten.

Ein Exit muss die Ports 80 und 443 zulassen, damit er überhaupt nützlich ist. Die Dokumentation zu Exit-Relays von Tor nennt dies ausdrücklich als Mindestanforderung. Wenn Ihr Provider eine restriktivere Konfiguration als die reduzierte Richtlinie verlangt, ist ein reiner Web-Exit trotzdem ein sinnvoller Beitrag:

ExitPolicy accept *:80
ExitPolicy accept *:443
ExitPolicy reject *:*

Beenden Sie die Liste mit reject *:*. Damit ist Ihre Richtlinie vollständig und übernimmt keine weiteren Regeln. Die reduzierte Richtlinie lässt Port 22 (SSH) zu. Dieser Port ist die häufigste Ursache für Brute-Force-Meldungen. Fügen Sie daher ExitPolicy reject *:22 vor den übrigen Regeln ein, wenn Sie diese Kategorie von E-Mails vermeiden möchten. Die File-Sharing-Ports im Bereich 6881-6999 sind die übliche Ursache für Urheberrechtsmeldungen. Die reduzierte Richtlinie schließt sie bereits aus.

Eine Änderung der Richtlinie erreicht die Clients erst, nachdem Ihr Relay einen neuen Deskriptor veröffentlicht hat und dieser vom Verzeichnisdienst verteilt wurde. Warten Sie daher einige Stunden, bevor Sie die Auswirkungen beurteilen.

ContactInfo, Family-Keys und Registrierung des Relays

Die Registrierung eines Exit-Relays verknüpft es mit einem Namen, den Dritte überprüfen können. Dafür gibt es zwei Mechanismen, die zusammenarbeiten.

Der erste Mechanismus ist eine bekannte Datei. Veröffentlichen Sie Ihre Family-Identität auf einer Domain, die Sie kontrollieren, und geben Sie diesen Nachweis in ContactInfo an:

ContactInfo email:tor[]example.org url:https://example.org proof:uri-familyid-ed25519 ciissversion:3

Die Datei liegt unter https://example.org/.well-known/tor-relay/ed25519-family-id.txt und enthält Ihre Family-ID. Jeder kann nun bestätigen, dass der Betreiber dieser Relays auch diese Domain kontrolliert. Das unterscheidet eine Kontaktadresse von einer verifizierten Kontaktadresse.

Der zweite Mechanismus ist die Family selbst. Wenn Sie mehr als ein Relay betreiben, muss das Netzwerk wissen, dass sie denselben Betreiber haben. So baut ein Client niemals eine Verbindungskette über zwei Ihrer Rechner auf. Aktuelle tor-Versionen verwenden dafür einen Family-Key namens Happy Families. Er funktioniert mit Relays, auf denen 0.4.9.2-alpha oder eine neuere Version läuft:

tor --keygen-family exampleFamily

Damit wird exampleFamily.secret_family_key erstellt und eine Zeile mit FamilyId ausgegeben. Kopieren Sie die geheime Schlüsseldatei in das Schlüsselverzeichnis jedes Relays (unter Debian und Ubuntu /var/lib/tor/keys). Behalten Sie die Endung .secret_family_key am Dateinamen bei. Fügen Sie die ausgegebene Zeile FamilyId in jede Datei torrc ein und laden Sie tor neu. In der tor-Dokumentation wird ausdrücklich darauf hingewiesen, dass Sie die veraltete Option MyFamily mit den Fingerprints aller Relays weiterhin setzen müssen, bis das Projekt ihre Verwendung für nicht mehr erforderlich erklärt. Konfigurieren Sie daher beide Optionen. Der Fingerprint jedes Relays steht in /var/lib/tor/fingerprint.

Beim zweiten und dritten Rechner wird der laufende Betrieb wichtig. Mehrere Linux-Server gleichzeitig verwalten ist hier dasselbe Problem wie in anderen Umgebungen. Sichern Sie /var/lib/tor/keys außerhalb des Servers. Geht die Datei verloren, wird das Relay wieder als unbekannt behandelt und muss alle Flags sowie seine gesamte Reputation erneut von Grund auf erwerben.

Abonnieren Sie außerdem die tor-relays-Mailingliste. Änderungen, die Betreiber betreffen, werden dort zuerst angekündigt.

Reverse-DNS und der Hinweis auf Port 80

Setzen Sie den Reverse-DNS-Eintrag, bevor das Relay Datenverkehr weiterleitet. Die Exit-Richtlinien von Tor empfehlen, dass der Eintrag erkennen lässt, um welche Art von Host es sich handelt, etwa in der Form tor-exit-01.example.org. Der Grund ist praktisch: Wenn eine unbekannte Adresse in den Logs eines anderen Administrators auftaucht, führt dieser zuerst eine Reverse-DNS-Abfrage durch. Ein Name mit „tor-exit“ beantwortet die Frage, bevor jemand eine Nachricht an Sie schreibt. Dadurch wird aus einem Teil der möglichen Beschwerden überhaupt keine Beschwerde. Bitten Sie den Provider, den PTR-Eintrag (Pointer) zu setzen, und legen Sie auf Ihrer Seite einen passenden Forward-DNS-Eintrag an.

Stellen Sie anschließend auf Port 80 eine Hinweisseite bereit, die denselben Sachverhalt in Worten erklärt. Ältere Anleitungen verwenden dafür die Einstellung DirPortFrontPage von tor. Diese Einstellung setzt ein DirPort voraus. DirPort ist für Relays seit tor 0.4.6.5 veraltet. Verwenden Sie daher stattdessen einen kleinen Webserver.

sudo apt install -y nginx
sudo install -d -m 755 /srv/tor-exit-notice

Schreiben Sie /srv/tor-exit-notice/index.html:

<!DOCTYPE html>
<html>
<head><title>This is a Tor exit relay</title></head>
<body>
<h1>This is a Tor exit relay</h1>
<p>Traffic from this address was sent by a user of the Tor network. It did not
come from the operator of this machine, and this machine keeps no record of
who sent it.</p>
<p>Operator: Example Org. Abuse reports: abuse@example.org. Every report gets a
reply from a person.</p>
<p>To check whether this address was a Tor exit at a given date and time:
https://metrics.torproject.org/exonerator.html</p>
</body>
</html>

Schreiben Sie diesen Server-Block nach /etc/nginx/sites-available/tor-exit-notice:

server {
    listen 80 default_server;
    listen [::]:80 default_server;
    server_name _;
    root /srv/tor-exit-notice;
    index index.html;
    access_log off;
}

Aktivieren Sie ihn, entfernen Sie die Standardsite von nginx und prüfen Sie das Ergebnis:

sudo ln -sf /etc/nginx/sites-available/tor-exit-notice /etc/nginx/sites-enabled/tor-exit-notice
sudo rm -f /etc/nginx/sites-enabled/default
sudo nginx -t && sudo systemctl reload nginx
curl -s http://127.0.0.1/ | head -n 5

nginx -t mit syntax is ok und test is successful bedeutet, dass die Datei syntaktisch korrekt ist. curl sollte die ersten Zeilen Ihres Hinweises ausgeben. Wenn stattdessen die nginx-Willkommensseite angezeigt wird, ist die Standardsite noch aktiviert und Ihr Block wird nicht verwendet.

Starten Sie den Dienst und prüfen Sie den Logeintrag

sudo systemctl restart tor@default
sudo journalctl -u tor@default -n 50 --no-pager

Innerhalb weniger Minuten sollte der Log den Eintrag enthalten, der bedeutet, dass andere Relays Ihren Relay erreichen können:

Self-testing indicates your ORPort is reachable from the outside. Excellent.

Wenn dieser Eintrag nicht erscheint, ist der ORPort nicht erreichbar. Prüfen Sie mit sudo ss -lntp | grep 443, ob tor auf dem Port lauscht. Testen Sie den Port anschließend von einem anderen Rechner aus mit nc -vz your.address.here 443. Eine Firewall vor dem VPS ist die häufigste Ursache. Dabei kann es sich um Ihre eigene Firewall oder um eine Firewall im Control Panel des Providers handeln.

Prüfen Sie mit systemctl is-enabled tor, ob der Dienst nach einem Reboot wieder startet. Der Befehl sollte enabled ausgeben.

Der Relay erscheint etwa drei Stunden nach dem Start unter dem gewählten Nickname in der Relay Search. Der Traffic steigt anschließend über mehrere Tage an, weil die Bandbreitenmessung des Netzwerks Ihren Relay erst beobachten muss, bevor Clients ihn stärker gewichten. Ein neuer Exit, der am ersten Tag kaum Traffic überträgt, ist normal.

Das Abuse-Playbook und der Inhalt der E-Mails

Erstellen Sie das Playbook, bevor die erste Beschwerde eingeht, denn diese trifft gewöhnlich bereits in der ersten Woche ein. Ein Großteil dieser E-Mails wird automatisch erzeugt. Die Exit-Richtlinien von Tor gehen davon aus, dass automatisierte Meldungen etwa 80% des Gesamtaufkommens ausmachen. Eine Standardantwort erledigt den größten Teil der übrigen Fälle.

Das geht tatsächlich ein. Eine von einem Intrusion-Detection-System erzeugte Meldung über einen Scan oder einen Brute-Force-Angriff, in der Ihre Adresse und ein Zeitstempel genannt werden. Eine Urheberrechtsmeldung, wenn Ihre Richtlinie File-Sharing-Ports zulässt. Eine Beschwerde eines Website-Betreibers über Forum- oder Kommentar-Spam. Gelegentlich ein Antrag auf Beweissicherung oder eine Vorladung durch die Strafverfolgungsbehörden. Das ist eine andere Kategorie. In diesem Fall sprechen Sie mit einem Anwalt, statt eine Vorlage zu verwenden.

Die Antwort ist kurz und sieht fast jedes Mal gleich aus:

Hello,

Thank you for the report. The address 203.0.113.10 is a Tor exit relay,
operated by <your name> at <your organisation>. The connection you saw was
made by a user of the Tor network. It did not originate on this machine.

This relay keeps no record of which user made which connection, so I cannot
identify the sender and there are no logs for me to hand over.

You can confirm that this address was a Tor exit at the date and time in
question here: https://metrics.torproject.org/exonerator.html

If you would prefer to stop Tor traffic reaching your service, the current
list of exit addresses is published here:
https://check.torproject.org/torbulkexitlist

I read this mailbox personally and will answer any follow-up.

<your name>

Vier Gewohnheiten sorgen dafür, dass das funktioniert. Antworten Sie innerhalb eines Arbeitstags von der in ContactInfo angegebenen Adresse und unterschreiben Sie mit Ihrem eigenen Namen. Bieten Sie niemals an, einen Benutzer zu identifizieren, weil Sie das nicht können. Ein Betreiber, der etwas anderes andeutet, muss dieses Versprechen später brechen. Bewahren Sie alle Antworten in einem Ordner auf, damit eine zweite E-Mail zum selben Vorfall dieselbe Antwort erhält. Wenn der Provider eine Beschwerde mit einer Warnung vor einer Sperrung weiterleitet, antworten Sie zuerst dem Provider und danach dem Meldenden.

Zwei Links sind in diesen Antworten besonders wichtig. ExoneraTor beantwortet die Frage, die ein Ermittler tatsächlich hat: War diese Adresse zu diesem Zeitpunkt ein Tor-Exit? Die Bulk-Exit-Liste ist eine einfache Liste der aktuellen Exit-Adressen, eine pro Zeile. Sie richtet sich an alle, die Tor blockieren möchten und dies lieber korrekt als auf Verdacht tun.

Bandbreite, Kosten und das zweite Relay

Exits übertragen echten Netzwerkverkehr. Legen Sie das monatliche Limit fest, bevor Sie bestellen, und klären Sie, wie der Anbieter nach dem Verbrauch des Kontingents abrechnet, denn was ein VPS tatsächlich kostet hängt hauptsächlich vom Transferkontingent ab und nicht vom angegebenen Preis. Tor kann Ihre Seite dieses Limits erzwingen:

AccountingMax 4 TBytes
AccountingStart month 1 00:00
RelayBandwidthRate 20 MBytes
RelayBandwidthBurst 25 MBytes

AccountingMax versetzt Tor in den Ruhezustand, sobald Tor in diesem Abrechnungszeitraum diese Datenmenge übertragen hat, und aktiviert es zu Beginn des nächsten Zeitraums wieder. Vergleichen Sie den ersten Monat mit dem Zähler des Anbieters, bevor Sie dem Wert vertrauen, denn beide zählen nicht immer dieselben Bytes. RelayBandwidthRate begrenzt die dauerhafte Übertragungsrate. Dadurch bleibt die Uplink-Verbindung nutzbar und der Anbieter wird nicht überlastet.

Wenn Sie einen zweiten Exit hinzufügen, platzieren Sie ihn in einem anderen Netzwerk und nicht im selben Rack wie den ersten. Die Diversität ist ein wesentlicher Teil des Beitrags eines Exits, und zwei Rechner an einem Standort fallen gemeinsam aus. Binden Sie beide in dieselbe Familie ein, veröffentlichen Sie für beide denselben verifizierten Kontakt und beantworten Sie die E-Mails von beiden. Ein Exit, den niemand erreichen kann, wird als anonymes Problem behandelt. Ein Exit, dessen Betreiber noch am selben Tag antwortet, wird als Server mit einer realen Ansprechperson dahinter wahrgenommen. Genau das ist er.

FAQ

Kann ich einen Tor-Exit-Node auf einem bereits vorhandenen VPS betreiben?

Nein. Hier sollten Sie strikt sein. Ein Exit benötigt eine dedizierte Adresse, auf der nichts anderes läuft. Der Provider muss dem Weiterleiten von Exit-Traffic vorher zugestimmt haben und Abuse-Mails unverändert an Sie weiterleiten. Auf einem VPS mit allgemeiner Nutzung, auch auf unserem, übernimmt diese Adresse bereits eine andere Aufgabe und befindet sich in einer Umgebung mit Kunden, die gewöhnliche Dienste betreiben. Betreiben Sie auf dem vorhandenen Server ein Relay ohne Exit-Funktion oder eine obfs4-Bridge. Diese sind tatsächlich nützlich, verursachen fast keine Beschwerden und benötigen nichts weiter als den Server, den Sie ohnehin bezahlen.

Wie viele Abuse-Mails erhält ein Tor-Exit-Relay, und wer bekommt sie?

Das hängt von Ihrer Exit-Richtlinie ab. Mit ReducedExitPolicy 1, abgelehntem Port 25 und ausgeschlossenen File-Sharing-Ports besteht der Großteil der eingehenden Meldungen aus automatisierten Scans und Brute-Force-Berichten. Laut den Tor-Richtlinien für Exits machen automatisierte Meldungen ungefähr 80% der Gesamtzahl aus. Die Mails erhält die Person, an die der Abuse-Desk des Providers sie weiterleitet. Fragen Sie deshalb vor der Bestellung, ob der Provider sie mit unveränderter Adresse des Meldenden an Sie weiterleitet. Veröffentlichen Sie dieselbe Adresse in ContactInfo und auf der Hinweisseite von Port 80. Antworten Sie innerhalb eines Werktags.

Muss ich meinen echten Namen und meine E-Mail-Adresse veröffentlichen?

Ja. ContactInfo wird im öffentlichen Relay-Verzeichnis veröffentlicht und kann von jeder Person heruntergeladen werden. Der Reverse-DNS-Name gibt an, wofür der Server verwendet wird, und die Hinweisseite auf Port 80 wiederholt diese Angaben. Diese Transparenz ist Teil des Konzepts und kein Nebeneffekt. Ein Exit ohne funktionierende Kontaktmöglichkeit wird als anonyme Störung behandelt. Einige Clients schließen Exits, die überhaupt keine Kontaktinformationen veröffentlichen, ebenfalls aus. Fügen Sie proof:uri-familyid-ed25519 und die Datei /.well-known/tor-relay/ed25519-family-id.txt auf einer von Ihnen kontrollierten Domain hinzu. Dadurch ist der Kontakt überprüfbar und nicht nur angegeben.

Warum überträgt mein neues Exit-Relay fast keinen Traffic?

Prüfen Sie zuerst, ob journalctl -u tor@default Self-testing indicates your ORPort is reachable from the outside. Excellent. enthält. Ein Relay, das den Erreichbarkeitstest nicht besteht, wird nie veröffentlicht und überträgt daher überhaupt keinen Traffic. Wenn diese Zeile vorhanden ist, liegt die Ursache meistens in der verstrichenen Zeit. Ein Relay erscheint ungefähr drei Stunden nach dem Start in Relay Search. Clients senden erst dann relevanten Traffic an das Relay, wenn die Bandbreitenmessung des Netzwerks es erfasst hat. Das dauert mehrere Tage. Außerdem muss die Richtlinie Ports 80 und 443 erlauben, bevor Ihr Relay überhaupt als Exit behandelt wird.