Tor-Exit-Node betreiben: Anleitung für Betreiber

Was ein Tor-Exit-Node tut und was das für Sie bedeutet

Ein Tor-Exit-Node ist das letzte Relay in einem Circuit: der Rechner, der die Verbindung zum Ziel öffnet. Das Ziel protokolliert daher die Adresse Ihres Servers und niemals die des Benutzers. Jede weitere Entscheidung in diesem Leitfaden ergibt sich aus dieser Tatsache. Die Adresse gilt als Quelle sämtlicher Daten, die sie passieren. Deshalb muss es sich um eine Adresse handeln, die ausschließlich dafür verwendet wird, bei einem Provider, der diesem Datenverkehr zugestimmt hat.

Der Betrieb eines Exit-Nodes ist das Gegenteil von Verbergen. Das Relay ist in einem öffentlichen Verzeichnis aufgeführt, das jeder herunterladen kann. Ihre Kontaktadresse steht dort unter ContactInfo. Ihr Reverse-DNS-Name kündigt an, wofür der Server verwendet wird. Port 80 stellt eine Seite bereit, die dasselbe aussagt. Auf Abuse-Mails antworten Sie selbst und unter Ihrem eigenen Namen. In diesem System ist niemand stärker identifizierbar als ein Exit-Betreiber. Das ist die Aufgabe. Genau deshalb funktioniert sie.

Wir betreiben solche Nodes. SSD Nodes betreibt in mehreren Ländern Exit-Relays als Beitrag zur freien Meinungsäußerung. Wir mieten diese Rechner bei Providern, die sich bewusst für Exit-Datenverkehr entschieden haben. Wir sind für diese Rechner nicht der Provider. Das ist beabsichtigt. Im nächsten Abschnitt wird erklärt, warum.

Wo ein Exit hingehört und wo nicht

Ein Exit gehört nicht auf einen VPS (Virtual Private Server) für allgemeine Zwecke. Das gilt auch für unseren VPS. In einem Netzwerk für allgemeine Zwecke laufen Websites, E-Mail, Backups und Control Panels für Tausende voneinander unabhängiger Kunden auf benachbarten Adressen. Exit-Traffic führt dazu, dass eine dieser Adressen in Scan-Berichten und Spam-Blocklisten auftaucht. Die Auswirkungen treffen dann die benachbarten Kunden. Provider, die Exits zuverlässig betreiben, haben ihre Infrastruktur dafür ausgelegt: Sie reservieren Adressbereiche für diesen Zweck und verfügen über ein Abuse-Team, das Tor bereits kennt.

Wenn ein Host, der diesen Leitfaden verfasst, Ihnen davon abrät, die Maschine dort zu betreiben, fordert er Sie also auf, sie an einem anderen Ort zu mieten. Das ist der nützliche Teil. Wir wissen, was Exit-Traffic mit einer Adresse macht, weil wir andere dafür bezahlen, unseren Traffic zu transportieren. Wir bezahlen sie, weil der zuverlässige Betrieb eines solchen Dienstes ein anderes Geschäft ist als der Verkauf von Servern für allgemeine Zwecke.

Das Tor Project formuliert es ähnlich, aber deutlicher. Auf der Seite zu den Relay-Typen steht, dass Exit-Relays „die größte rechtliche Gefährdung und Haftung aller Relays“ haben und dass „Sie kein Tor-Exit-Relay von zu Hause aus betreiben sollten“. Ein VPS für allgemeine Zwecke, auf dem Ihre eigenen Projekte laufen, ist näher an einem Heimanschluss, als es zunächst wirkt. Es ist eine Maschine, die Ihnen wichtig ist, unter einer Adresse, deren Reputation Sie schützen wollen.

Wenn Sie einen gewöhnlichen VPS haben und das Netzwerk noch in dieser Woche unterstützen möchten, betreiben Sie darauf ein Non-Exit-Relay oder eine Bridge. Das ist kein Ersatz zweiter Klasse. Es handelt sich um eine andere Aufgabe mit einem anderen Risikoprofil. Das Netzwerk benötigt beides. Ein Non-Exit-Relay baut niemals eine Verbindung zu einem Ziel auf und verursacht daher fast keine Beschwerden. Die Anforderungen an Relays von Tor nennen in jeder Richtung mindestens 10 Mbit/s (Megabit pro Sekunde) und empfehlen 16 Mbit/s, also 2 MByte/s. Eine Bridge ist ein nicht gelisteter Einstiegspunkt für Benutzer in zensierten Netzwerken. Sie benötigt eine durchgehende Verbindung und zwei offene TCP-Ports (Transmission Control Protocol): einen für den ORPort und einen für obfs4. Damit ist sie die wertvollste Aufgabe, die eine kleine Maschine übernehmen kann. Beide Varianten gehören auf Hardware, die Sie bereits besitzen. Ein Exit nicht.

Wie finden Sie einen exit-freundlichen Anbieter?

Fragen Sie vor der Bestellung schriftlich nach und bewahren Sie die Antwort auf. Die Exit-Richtlinien von Tor empfehlen zwei Schritte: Fragen Sie zuerst, ob der Anbieter grundsätzlich mit einem Tor-Exit einverstanden ist. Fragen Sie anschließend, ob er dafür eine dedizierte Adresse oder einen eigenen Bereich zuweist. Wenn Sie beides gleichzeitig fragen, lautet die reflexartige Antwort häufig Nein.

Vier Fragen zeigen, ob ein Anbieter dafür tatsächlich eingerichtet ist.

• Weisen Sie eine dedizierte IP-Adresse zu, auf der nichts anderes gehostet wird, und setzen Sie den von mir gewünschten Reverse-DNS-Eintrag?
• Wer empfängt die Abuse-Mail, und leiten Sie sie unverändert an mich weiter, einschließlich der Adresse des Meldenden, damit ich ihm direkt antworten kann?
• Was geschieht bei der ersten Beschwerde: Leiten Sie sie an mich weiter, oder null-routen Sie die Adresse zuerst und fragen erst danach?
• Wie viele Exits befinden sich bereits in diesem Netzwerk? Die Richtlinien von Tor formulieren das eindeutig: „Es hilft nicht, wenn wir zu viele Exits bei einem kooperativen ISP bündeln.“

Die letzte Frage ist wichtiger, als es zunächst wirkt. Ein Teil des Werts eines Exits hängt von seiner Position im Netzwerk ab. Ein weiterer Exit in einem Netzwerk, das bereits fünfzig Exits beherbergt, bringt weniger als dieselbe Maschine an einem neuen Standort. Relay Search zeigt, welche Netzwerke bereits Exits betreiben. So können Sie dies vor der Entscheidung prüfen.

Holen Sie die Antworten ein, bevor Sie bezahlen, und kaufen Sie die Maschine über ein eigenes Konto, statt sie dem Konto hinzuzufügen, über das Ihre anderen Server laufen. Wie sicher VPS-Hosting ist hängt vor allem davon ab, was Sie nebeneinander betreiben. Dafür gibt es kaum ein klareres Beispiel.

Eine Adresse, eine Aufgabe

Auf der Adresse darf nichts anderes betrieben werden. Keine Website, kein Maildienst, kein VPN, kein Monitoring-Dashboard und kein persönlicher SSH-(Secure-Shell-)Jump-Host. Die Adresse wird auf Blocklisten landen. Alles andere, was dort betrieben wird, wird dadurch auf schwer nachvollziehbare Weise gestört. Eine Adresse mit nur einem Zweck verkürzt auch Ihre Antwort auf Beschwerden: Diese Adresse ist ein Exit-Relay und nichts anderes.

Erledigen Sie die üblichen Aufgaben, bevor tor installiert wird. Verwenden Sie SSH ausschließlich mit kryptografischen Schlüsseln und deaktivieren Sie die Anmeldung per Passwort. Konfigurieren Sie außerdem eine Firewall, die nur die veröffentlichten Ports zulässt. SSH auf einem VPS härten behandelt den ersten Teil. Grundlagen der ufw-Firewall behandelt den zweiten. Ein Exit veröffentlicht genau zwei Ports im Internet: den ORPort für den Tor-Verkehr und Port 80 für die Exit-Hinweisseite. Alle anderen Ports bleiben geschlossen.

Aktivieren Sie unbeaufsichtigte Aktualisierungen. Ein Exit mit einer veralteten tor-Version ist für alle Benutzer ein Problem, deren Datenverkehr über ihn geleitet wird.

sudo apt update && sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

Fügen Sie keine Protokollierung hinzu. Das Erfassen des Klartexts, der einen Exit verlässt, ist technisch einfach. Ein Betreiber darf genau das niemals tun. Die rechtliche Tor-FAQ der EFF rät Betreibern davon ab. In den Vereinigten Staaten und nach vergleichbaren Gesetzen in anderen Ländern kann die Untersuchung dieses Datenverkehrs nach den geltenden Abhörgesetzen eine Haftung begründen. Belassen Sie es bei der standardmäßigen Protokollierung von tor auf der Stufe notice und aktivieren Sie keine weitere Protokollierung.

Tor aus dem Repository des Tor Project installieren

Distributionspakete sind oft veraltet. Verwenden Sie das eigene Repository des Tor Project, damit Sicherheitskorrekturen am Tag ihrer Veröffentlichung verfügbar sind. Im Oktober 2026 ist die aktuelle stabile Serie 0.4.9. Das Tor Project hat den 1. September 2026 als Zieldatum für die Ausmusterung von 0.4.8 und älteren Versionen festgelegt. Danach funktionieren Relays mit diesen Versionen im Netzwerk überhaupt nicht mehr. Ein altes Paket ist daher nicht nur langsam, sondern defekt.

sudo apt update
sudo apt install -y apt-transport-https gnupg wget
lsb_release -cs

Schreiben Sie /etc/apt/sources.list.d/tor.sources und ersetzen Sie noble durch den Codenamen, den lsb_release -cs ausgegeben hat:

Types: deb deb-src
URIs: https://deb.torproject.org/torproject.org/
Suites: noble
Components: main
Signed-By: /usr/share/keyrings/deb.torproject.org-keyring.gpg

Fügen Sie den Signaturschlüssel hinzu und installieren Sie anschließend:

wget -qO- https://deb.torproject.org/torproject.org/A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89.asc | gpg --dearmor | sudo tee /usr/share/keyrings/deb.torproject.org-keyring.gpg >/dev/null
sudo apt update
sudo apt install -y tor deb.torproject.org-keyring
tor --version

Das Paket deb.torproject.org-keyring hält diesen Schlüssel automatisch aktuell. Dadurch fällt das Repository nicht an dem Tag aus, an dem der Schlüssel gewechselt wird. Wenn apt update meldet, dass dasselbe Repository zweimal konfiguriert ist, gibt es sowohl eine .list-Datei als auch eine .sources-Datei, in denen es eingetragen ist. Der Fehler durch doppelte deb822-Quellen erklärt, wie Sie den doppelten Eintrag entfernen.

DNS: Ihr Exit löst Namen für alle darüber laufenden Verbindungen auf

Ein Exit führt die Namensauflösung für jede darüber laufende Verbindung durch. Sein Resolver sieht dadurch einen Datenstrom mit Namen anderer Benutzer. Wenn Sie diesen Datenstrom an einen großen öffentlichen Resolver weiterleiten, übergeben Sie ihn vollständig an ein einziges Unternehmen. Genau diese Zentralisierung sollen Betreiber von Tor-Exits vermeiden. Betreiben Sie stattdessen einen validierenden, zwischenspeichernden Resolver auf dem Server.

sudo apt install -y unbound bind9-dnsutils
sudo cp /etc/resolv.conf /etc/resolv.conf.backup
echo "nameserver 127.0.0.1" | sudo tee /etc/resolv.conf
sudo chattr +i /etc/resolv.conf
sudo systemctl enable --now unbound

chattr +i markiert die Datei als unveränderlich. DHCP-Clients (Dynamic Host Configuration Protocol) und resolvconf schreiben /etc/resolv.conf nach eigenem Zeitplan neu. Ohne diese Markierung kann ein Reboot die Namensauflösung wieder auf den Resolver des Providers umstellen. Sie erhalten dabei keine Warnung. Die Anleitungen von Tor für Debian und Ubuntu aktivieren außerdem die Minimierung von Abfragenamen. Dabei sendet jeder Nameserver nur den Teil eines Namens, den er tatsächlich benötigt:

server:
    qname-minimisation: yes

Legen Sie diesen Inhalt in einer Datei unter /etc/unbound/unbound.conf.d/ ab. Prüfen Sie anschließend, ob der Resolver antwortet:

sudo systemctl restart unbound
dig +short example.com @127.0.0.1

Eine Adresse in der Antwort bedeutet, dass unbound funktioniert. Wenn unbound mit address already in use nicht startet, verwendet ein anderer Prozess Port 53. Führen Sie sudo ss -lntup | grep :53 aus und prüfen Sie, welcher Prozess diesen Port verwendet. Unter Ubuntu lauscht systemd-resolved auf 127.0.0.53. Daher entsteht kein Konflikt mit unbound auf 127.0.0.1.

Die torrc für ein Exit-Relay

Das Debian-Paket liest /etc/tor/torrc. Dies ist die vollständige Konfiguration für den Exit-Betrieb.

Nickname     exampleExit01
ORPort       443
ExitRelay    1
SocksPort    0
ContactInfo  email:tor[]example.org abuse:abuse[]example.org url:https://example.org ciissversion:3
ReducedExitPolicy 1
Log          notice syslog

Jede Zeile ist dafür relevant. Gehen Sie sie daher einzeln durch.

ORPort 443 ist der Port, über den sich andere Relays mit Ihnen verbinden. Port 443 funktioniert auch in restriktiven Netzwerken, die ungewöhnliche Ports blockieren. Ihr Relay ist dadurch für mehr Benutzer erreichbar als über den herkömmlichen Port 9001. Sie können Port 443 nur verwenden, wenn kein anderer Dienst auf diesem Server ihn benötigt. Das ist ein weiteres Argument für die dedizierte Adresse.

SocksPort 0 deaktiviert den lokalen SOCKS-Proxy. Ein Relay benötigt ihn nicht. Ein SOCKS-Port, der an einer öffentlichen Adresse lauscht, ist ein offener Proxy. Er wird innerhalb weniger Stunden gefunden und missbraucht.

ExitRelay 1 aktiviert den Exit-Betrieb. Setzen Sie die Option ausdrücklich, statt sich auf einen Standardwert zu verlassen. Dadurch ist in der Konfigurationsdatei eindeutig angegeben, welche Funktion der Server erfüllt.

ContactInfo wird im öffentlichen Verzeichnis veröffentlicht und kann von jedem gelesen werden. Schreiben Sie den Wert im Format der ContactInfo Information Sharing Specification. Dieses Format wird von den Werkzeugen des Netzwerks verarbeitet. Lassen Sie ciissversion:3 darin enthalten. Der [] anstelle von @ entspricht der Konvention dieser Spezifikation, um das automatisierte Auslesen von Adressen zu erschweren. Verwenden Sie ein Postfach, das Sie täglich lesen. Dort gehen Meldungen zu Missbrauch ein.

Wenn der Server über funktionierendes IPv6 verfügt, fügen Sie einen IPv6-ORPort hinzu und aktivieren Sie IPv6-Exit-Verbindungen. Lassen Sie beides weg, wenn dies nicht der Fall ist. Ein Relay, das eine Adresse veröffentlicht, die es tatsächlich nicht verwenden kann, besteht seinen eigenen Erreichbarkeitstest nicht.

ORPort   [2001:db8::1]:443
IPv6Exit 1

Exit-Richtlinie: Welche Ports zugelassen werden

Die Exit-Richtlinie ist die Liste der Ziele, zu denen Ihr Relay Verbindungen herstellen darf. Tor liest sie von oben nach unten. Die erste passende Regel wird angewendet. ReducedExitPolicy 1 wählt eine gepflegte Liste mit etwa hundert Ports aus, die Web, Mailversand, Chat und Git abdeckt. Ports, die die meisten Beschwerden verursachen, sind nicht enthalten. Das ist ein geeigneter Ausgangspunkt für einen ersten Exit.

Zwei Regeln sollten Sie namentlich kennen. ExitPolicyRejectPrivate ist standardmäßig aktiviert. Die Regel verhindert, dass der Exit Verbindungen zu privaten Adressbereichen und zu den eigenen Adressen des Relays herstellt. Dadurch kann Ihr Exit nicht auf das interne Netzwerk Ihres Providers gerichtet werden. Port 25 (SMTP, Simple Mail Transfer Protocol) wird abgelehnt und sollte abgelehnt bleiben. Wenn Sie ihn zulassen, wird das Relay zu einer Spamquelle. Die Adresse landet innerhalb weniger Tage auf Blocklisten.

Ein Exit muss die Ports 80 und 443 zulassen, damit er überhaupt nutzbar ist. Die Dokumentation zum Tor-Exit-Relay nennt dies ausdrücklich als Mindestanforderung. Wenn Ihr Provider eine strengere Konfiguration als die reduzierte Richtlinie verlangt, ist ein Exit nur für Webverkehr dennoch ein sinnvoller Beitrag:

ExitPolicy accept *:80
ExitPolicy accept *:443
ExitPolicy reject *:*

Beenden Sie die Liste mit reject *:*. Damit ist Ihre Richtlinie vollständig und erbt keine weiteren Regeln. Die reduzierte Richtlinie lässt Port 22 (SSH) zu. Er ist die übliche Quelle für Meldungen über Brute-Force-Angriffe. Fügen Sie ExitPolicy reject *:22 daher über den übrigen Regeln ein, wenn Sie diese Art von E-Mail nicht bearbeiten möchten. Die Filesharing-Ports im Bereich 6881-6999 verursachen üblicherweise Copyright-Hinweise. Die reduzierte Richtlinie schließt sie bereits aus.

Eine Änderung der Richtlinie erreicht Clients erst, nachdem Ihr Relay einen neuen Descriptor veröffentlicht hat und dieser vom Verzeichnisdienst verteilt wurde. Warten Sie daher einige Stunden, bevor Sie die Auswirkungen beurteilen.

ContactInfo, Familienschlüssel und die Registrierung des Relays

Die Registrierung eines Exit-Relays verknüpft es mit einem Namen, den ein Außenstehender überprüfen kann. Dafür gibt es zwei Mechanismen, die zusammenwirken.

Der erste Mechanismus ist eine bekannte Datei. Veröffentlichen Sie Ihre Familienidentität auf einer Domain, die Sie kontrollieren, und tragen Sie den Nachweis in ContactInfo ein:

ContactInfo email:tor[]example.org url:https://example.org proof:uri-familyid-ed25519 ciissversion:3

Die Datei liegt unter https://example.org/.well-known/tor-relay/ed25519-family-id.txt und enthält Ihre Familien-ID. Damit kann jeder bestätigen, dass die Person oder Organisation, die diese Relays beansprucht, auch die Domain kontrolliert. Das ist der Unterschied zwischen einer Kontaktadresse und einer verifizierten Kontaktadresse.

Der zweite Mechanismus ist die Familie selbst. Wenn Sie mehr als ein Relay betreiben, muss das Netzwerk wissen, dass sie denselben Betreiber haben. So baut ein Client niemals eine Verbindung über zwei Ihrer Maschinen auf. Aktuelle tor-Versionen verwenden dafür einen Familienschlüssel namens Happy Families auf Relays mit Version 0.4.9.2-alpha oder höher:

tor --keygen-family exampleFamily

Dadurch wird exampleFamily.secret_family_key geschrieben und eine Zeile mit FamilyId ausgegeben. Kopieren Sie die geheime Schlüsseldatei in das Schlüsselverzeichnis jedes Relays (unter Debian und Ubuntu /var/lib/tor/keys), behalten Sie die Endung .secret_family_key im Dateinamen bei, fügen Sie die ausgegebene Zeile FamilyId in jede Datei torrc ein und laden Sie tor neu. Im Handbuch von tor steht, dass Relay-Familien derzeit sowohl FamilyId als auch die veraltete Option MyFamily konfigurieren sollten, in der der Fingerabdruck jedes Relays aufgeführt wird. So erkennen auch ältere Clients die Familie weiterhin. Konfigurieren Sie beide Optionen. Der Fingerabdruck jedes Relays steht in /var/lib/tor/fingerprint.

Beim zweiten und dritten Rechner wird der operative Aufwand relevant. Das Verwalten mehrerer Linux-Server gleichzeitig ist hier dasselbe Problem wie in anderen Umgebungen. Sichern Sie /var/lib/tor/keys außerhalb des Servers. Geht die Datei verloren, erscheint das Relay wieder als unbekanntes Relay und muss alle Flags sowie seine gesamte Reputation erneut von null aufbauen.

Abonnieren Sie außerdem die tor-relays-Mailingliste. Änderungen, die Betreiber betreffen, werden dort zuerst angekündigt.

Reverse-DNS und der Hinweis auf Port 80

Setzen Sie den Reverse-DNS-Eintrag, bevor das Relay Datenverkehr weiterleitet. Die Exit-Richtlinien von Tor empfehlen, dass der Eintrag erkennen lässt, um welche Art von Host es sich handelt, etwa in der Form tor-exit-01.example.org. Der Grund ist praktisch: Wenn eine unbekannte Adresse in den Logs eines anderen Administrators auftaucht, führt dieser zuerst eine Reverse-DNS-Abfrage durch. Ein Name mit „tor-exit“ beantwortet die Frage, bevor jemand eine Nachricht an Sie schreibt. Dadurch wird aus einem Teil der möglichen Beschwerden überhaupt keine Beschwerde. Bitten Sie den Provider, den PTR-Eintrag (Pointer) zu setzen, und legen Sie auf Ihrer Seite einen passenden Forward-DNS-Eintrag an.

Stellen Sie anschließend auf Port 80 eine Hinweisseite bereit, die denselben Sachverhalt in Worten erklärt. Ältere Anleitungen verwenden dafür die Einstellung DirPortFrontPage von tor. Diese Einstellung setzt ein DirPort voraus. DirPort ist für Relays seit tor 0.4.6.5 veraltet. Verwenden Sie daher stattdessen einen kleinen Webserver.

sudo apt install -y nginx
sudo install -d -m 755 /srv/tor-exit-notice

Schreiben Sie /srv/tor-exit-notice/index.html:

<!DOCTYPE html>
<html>
<head><title>This is a Tor exit relay</title></head>
<body>
<h1>This is a Tor exit relay</h1>
<p>Traffic from this address was sent by a user of the Tor network. It did not
come from the operator of this machine, and this machine keeps no record of
who sent it.</p>
<p>Operator: Example Org. Abuse reports: abuse@example.org. Every report gets a
reply from a person.</p>
<p>To check whether this address was a Tor exit at a given date and time:
https://metrics.torproject.org/exonerator.html</p>
</body>
</html>

Schreiben Sie diesen Server-Block nach /etc/nginx/sites-available/tor-exit-notice:

server {
    listen 80 default_server;
    listen [::]:80 default_server;
    server_name _;
    root /srv/tor-exit-notice;
    index index.html;
    access_log off;
}

Aktivieren Sie ihn, entfernen Sie die Standardsite von nginx und prüfen Sie das Ergebnis:

sudo ln -sf /etc/nginx/sites-available/tor-exit-notice /etc/nginx/sites-enabled/tor-exit-notice
sudo rm -f /etc/nginx/sites-enabled/default
sudo nginx -t && sudo systemctl reload nginx
curl -s http://127.0.0.1/ | head -n 5

nginx -t mit syntax is ok und test is successful bedeutet, dass die Datei syntaktisch korrekt ist. curl sollte die ersten Zeilen Ihres Hinweises ausgeben. Wenn stattdessen die nginx-Willkommensseite angezeigt wird, ist die Standardsite noch aktiviert und Ihr Block wird nicht verwendet.

Starten Sie den Dienst und prüfen Sie den Log

sudo systemctl restart tor@default
sudo journalctl -u tor@default -n 50 --no-pager

Innerhalb weniger Minuten sollte der Log die Zeile enthalten, die angibt, dass andere Relays Ihren Relay erreichen können. Ihre eigene Adresse und der Port stehen in der Mitte:

Self-testing indicates your ORPort 203.0.113.10:443 is reachable from the outside. Excellent. Publishing server descriptor.

Wenn diese Zeile nicht erscheint, ist der ORPort nicht erreichbar. Prüfen Sie mit sudo ss -lntp | grep 443, ob Tor auf dem Port lauscht. Testen Sie den Port anschließend mit nc -vz your.address.here 443 von einem anderen Rechner aus. Eine Firewall vor dem VPS ist die häufigste Ursache. Dabei kann es sich um Ihre eigene Firewall oder um eine Firewall im Control Panel des Providers handeln.

Prüfen Sie mit systemctl is-enabled tor, ob der Dienst nach einem Reboot wieder startet. Der Befehl sollte enabled ausgeben.

Der Relay wird ungefähr drei Stunden nach dem Start unter dem von Ihnen gewählten Nickname in Relay Search angezeigt. Der Traffic nimmt anschließend über mehrere Tage zu. Die Bandbreitenmessung des Netzwerks muss Ihren Relay zunächst beobachten, bevor Clients ihm ein höheres Gewicht geben. Es ist normal, dass ein neuer Exit am ersten Tag kaum Traffic transportiert.

Das Vorgehen bei Missbrauchsmeldungen und der Inhalt der E-Mails

Erstellen Sie das Vorgehen vor der ersten Beschwerde, denn die erste trifft normalerweise in der ersten Woche ein. Die meisten dieser E-Mails werden automatisch erzeugt. In den Tor-Richtlinien für Exit-Relays wird TorServers.net, ein großer Exit-Betreiber, mit der Angabe zitiert, dass ungefähr 80% seiner Beschwerden automatisch erstellt werden. Die meisten übrigen Fälle lassen sich mit der Standardantwort erledigen. Welche Mischung bei Ihnen auftritt, hängt von Ihrer Richtlinie ab. Eine Standardantwort erledigt jedoch den größten Teil der Arbeit.

So sehen die eingehenden Meldungen tatsächlich aus. Ein Bericht über Scans oder Brute-Force-Angriffe, den das Intrusion-Detection-System einer anderen Organisation erstellt hat und der Ihre Adresse sowie einen Zeitstempel nennt. Eine Urheberrechtsmeldung, falls Ihre Richtlinie Ports für Filesharing zulässt. Eine Beschwerde des Betreibers einer Website über Forum- oder Kommentar-Spam. Gelegentlich eine Aufforderung zur Beweissicherung oder eine Vorladung von Strafverfolgungsbehörden. Das ist eine andere Kategorie. Ab diesem Punkt sprechen Sie mit einem Anwalt, statt eine Vorlage zu verwenden.

Die Antwort ist kurz und fast immer gleich:

Hello,

Thank you for the report. The address 203.0.113.10 is a Tor exit relay,
operated by <your name> at <your organisation>. The connection you saw was
made by a user of the Tor network. It did not originate on this machine.

This relay keeps no record of which user made which connection, so I cannot
identify the sender and there are no logs for me to hand over.

You can confirm that this address was a Tor exit at the date and time in
question here: https://metrics.torproject.org/exonerator.html

If you would prefer to stop Tor traffic reaching your service, the current
list of exit addresses is published here:
https://check.torproject.org/torbulkexitlist

I read this mailbox personally and will answer any follow-up.

<your name>

Vier Gewohnheiten machen diese Vorgehensweise wirksam. Antworten Sie innerhalb eines Arbeitstags von der in ContactInfo angegebenen Adresse und unterschreiben Sie mit Ihrem eigenen Namen. Bieten Sie niemals an, einen Benutzer zu identifizieren. Das können Sie nicht. Ein Betreiber, der etwas anderes andeutet, muss dieses Versprechen später brechen. Bewahren Sie alle Antworten in einem Ordner auf. So erhält eine zweite E-Mail zum selben Vorfall dieselbe Antwort. Wenn der Provider eine Beschwerde mit einer Sperrandrohung weiterleitet, antworten Sie zuerst dem Provider und danach dem Absender der Beschwerde.

Zwei Links sind für diese Antworten besonders wichtig. ExoneraTor beantwortet die Frage, die ein Ermittler tatsächlich hat: War diese Adresse zu diesem Zeitpunkt ein Tor-Exit? Die Liste aller Exit-Adressen ist eine einfache Liste der aktuellen Exit-Adressen, eine pro Zeile. Sie richtet sich an alle, die Tor blockieren möchten und dies lieber korrekt tun, als zu raten.

Bandbreite, Kosten und das zweite Relay

Exits übertragen echten Netzwerkverkehr. Legen Sie das monatliche Limit fest, bevor Sie bestellen, und klären Sie, wie der Anbieter nach dem Verbrauch des Kontingents abrechnet, denn was ein VPS tatsächlich kostet hängt hauptsächlich vom Transferkontingent ab und nicht vom angegebenen Preis. Tor kann Ihre Seite dieses Limits erzwingen:

AccountingMax 4 TBytes
AccountingStart month 1 00:00
RelayBandwidthRate 20 MBytes
RelayBandwidthBurst 25 MBytes

AccountingMax versetzt Tor in den Ruhezustand, sobald Tor in diesem Abrechnungszeitraum diese Datenmenge übertragen hat, und aktiviert es zu Beginn des nächsten Zeitraums wieder. Vergleichen Sie den ersten Monat mit dem Zähler des Anbieters, bevor Sie dem Wert vertrauen, denn beide zählen nicht immer dieselben Bytes. RelayBandwidthRate begrenzt die dauerhafte Übertragungsrate. Dadurch bleibt die Uplink-Verbindung nutzbar und der Anbieter wird nicht überlastet.

Wenn Sie einen zweiten Exit hinzufügen, platzieren Sie ihn in einem anderen Netzwerk und nicht im selben Rack wie den ersten. Die Diversität ist ein wesentlicher Teil des Beitrags eines Exits, und zwei Rechner an einem Standort fallen gemeinsam aus. Binden Sie beide in dieselbe Familie ein, veröffentlichen Sie für beide denselben verifizierten Kontakt und beantworten Sie die E-Mails von beiden. Ein Exit, den niemand erreichen kann, wird als anonymes Problem behandelt. Ein Exit, dessen Betreiber noch am selben Tag antwortet, wird als Server mit einer realen Ansprechperson dahinter wahrgenommen. Genau das ist er.

FAQ

Kann ich einen Tor-Exit-Node auf einem bereits vorhandenen VPS betreiben?

Nein. Hier müssen Sie strikt sein. Ein Exit-Node benötigt eine dedizierte Adresse, auf der keine anderen Dienste laufen. Der Provider muss dem Weiterleiten von Exit-Traffic vorab zugestimmt haben und Abuse-Mails unverändert an Sie weiterleiten. Auf einem VPS für allgemeine Zwecke, auch auf unserem, übernimmt diese Adresse bereits eine andere Aufgabe und befindet sich in einer Umgebung mit Kunden, die gewöhnliche Dienste betreiben. Betreiben Sie auf dem vorhandenen Server stattdessen ein Relay ohne Exit-Funktion oder eine obfs4-Bridge. Diese sind tatsächlich nützlich, verursachen nahezu keine Beschwerden und benötigen nicht mehr als den Server, für den Sie bereits bezahlen.

Wie viele Abuse-Mails erhält ein Tor-Exit-Relay, und wer bekommt sie?

Das hängt von Ihrer Exit-Policy ab. Mit ReducedExitPolicy 1, abgelehntem Port 25 und ausgeschlossenen Filesharing-Ports besteht der Großteil der eingehenden Meldungen aus automatisierten Scans und Brute-Force-Berichten. Die Exit-Richtlinien von Tor verweisen auf TorServers.net, einen großen Exit-Betreiber, der rund 80 % seiner Beschwerden als automatisiert eingestuft hat. Das ist die Erfahrung eines einzelnen Betreibers und kein netzwerkweiter Wert. Die Mails erhält die Person, an die der Abuse-Desk des Providers sie weiterleitet. Deshalb sollten Sie vor der Bestellung fragen, ob der Provider sie mit unveränderter Absenderadresse an Sie weiterleitet. Veröffentlichen Sie dieselbe Adresse in ContactInfo und auf der Hinweis-Seite unter Port 80. Antworten Sie innerhalb eines Arbeitstags.

Muss ich meinen echten Namen und meine E-Mail-Adresse veröffentlichen?

Ja. ContactInfo wird im öffentlichen Relay-Verzeichnis veröffentlicht und kann von jedem heruntergeladen werden. Der Reverse-DNS-Name gibt an, wofür der Server verwendet wird, und die Hinweis-Seite unter Port 80 wiederholt diese Angaben. Diese Transparenz ist Teil des Konzepts und kein Nebeneffekt. Ein Exit-Node ohne funktionierende Kontaktmöglichkeit wird als anonyme Störung behandelt. Einige Clients schließen Exits ohne veröffentlichte Kontaktangaben vollständig aus. Fügen Sie proof:uri-familyid-ed25519 und die Datei /.well-known/tor-relay/ed25519-family-id.txt auf einer von Ihnen kontrollierten Domain hinzu. Dadurch lässt sich der Kontakt verifizieren, statt nur angegeben zu sein.

Warum überträgt mein neues Exit-Relay fast keinen Traffic?

Prüfen Sie zuerst, ob journalctl -u tor@default eine Zeile enthält, die mit Self-testing indicates your ORPort beginnt und mit is reachable from the outside. Excellent. endet. Ein Relay, das den Erreichbarkeitstest nicht besteht, wird nie veröffentlicht und überträgt daher überhaupt keinen Traffic. Wenn die Zeile vorhanden ist, liegt es normalerweise an der Zeit. Ein Relay erscheint etwa drei Stunden nach dem Start in Relay Search. Clients senden ihm erst dann nennenswerten Traffic, wenn die Bandbreitenmessung des Netzwerks es erfasst hat. Das dauert mehrere Tage. Außerdem muss eine Policy vorhanden sein, die die Ports 80 und 443 erlaubt, bevor Ihr Relay überhaupt als Exit behandelt wird.