איך להפעיל צומת יציאה של Tor: מדריך למפעילים

מהו צומת יציאה של Tor, ומה המשמעות של הפעלתו

צומת יציאה (exit node) של Tor הוא הממסר האחרון במעגל: המכונה שפותחת את החיבור ליעד, כך שהיעד מתעד את כתובת השרת שלכם ולא את זו של המשתמש. כל החלטה אחרת במדריך זה נובעת מעובדה יחידה זו. הכתובת נתפסת כמקור לכל מה שעובר דרכה, לכן עליה להיות כתובת שאינה משמשת לשום מטרה אחרת, אצל ספק שהסכים להעביר תעבורה מסוג זה.

הפעלת צומת יציאה היא ההפך מהסתתרות. הממסר מופיע במדריך ציבורי שכל אחד יכול להוריד. כתובת הקשר שלכם מופיעה במדריך תחת ContactInfo, שם ה-reverse DNS שלכם מצהיר מהו השרת, פורט 80 מציג דף המצהיר על כך, ואתם עונים בעצמכם על דואר בנושאי abuse, תחת שמכם. אין איש במערכת זו שניתן לזהות בקלות רבה יותר ממפעיל צומת יציאה. זהו התפקיד, וזו הסיבה שהתפקיד עובד.

אנו מפעילים צמתים כאלה. SSD Nodes מפעילה ממסרי יציאה בכמה מדינות כתרומתה לחופש הביטוי. אנו שוכרים את המכונות הללו מספקים שחתמו במפורש על הסכמה לתעבורת יציאה, ואנו איננו הספק שלהן. זה נעשה בכוונה תחילה, והסעיף הבא מסביר מדוע.

היכן מקומו של צומת יציאה, והיכן לא

צומת יציאה (exit relay) אינו שייך לשרת VPS (שרת פרטי וירטואלי) למטרות כלליות, וזה כולל את השרתים שלנו. רשת למטרות כלליות מארחת אתרים, דואר, גיבויים ולוחות בקרה עבור אלפי לקוחות שאינם קשורים זה לזה, החולקים כתובות IP שכנות. תעבורת יציאה גורמת לאחת מהכתובות הללו להופיע בדוחות סריקה וברשימות חסימה של דואר זבל, וההשלכות משפיעות על השכנים. ספקיות המארחות צמתי יציאה בצורה נכונה נערכו לכך מראש: הן מקצות טווחי כתובות ייעודיים למטרה זו, ומחזיקות צוות לטיפול בשימוש לרעה (abuse desk) שמכיר את Tor.

לכן, ספק שמפרסם מדריך זה ממליץ לכם לרכוש את המכונה במקום אחר. זהו החלק המועיל. אנו יודעים מה תעבורת יציאה עושה לכתובת IP, כיוון שאנו משלמים לאחרים כדי שיעבירו את התעבורה שלנו, ואנו משלמים להם כי העברה תקינה של תעבורה כזו היא עסק שונה ממכירת שרתי VPS למטרות כלליות.

פרויקט Tor מציג את אותם הדברים במונחים ישירים יותר. דף סוגי הממסרים שלהם מציין כי ממסרי יציאה "חשופים לחשיפה משפטית ולאחריות הגבוהה ביותר מבין כל הממסרים" וכי "אין להריץ ממסר יציאה של Tor מהבית". שרת VPS למטרות כלליות המאחסן את הפרויקטים האישיים שלכם קרוב לבית יותר ממה שזה נראה. זו מכונה שחשובה לכם, בכתובת שאתם רוצים לשמור עליה נקייה.

אם יש לכם שרת VPS רגיל ואתם רוצים לסייע לרשת השבוע, הריצו עליו ממסר שאינו צומת יציאה (non-exit relay) או גשר (bridge). זה אינו פרס ניחומים. זו משימה שונה עם פרופיל סיכון שונה, והרשת זקוקה לשניהם. ממסר שאינו צומת יציאה לעולם אינו פותח חיבור ליעד, לכן הוא כמעט אינו מושך תלונות. ההנחיות של Tor מבקשות רוחב פס של לפחות 2 MByte/s (מגה-בייט לשנייה) לכל כיוון כדי שיהיה כדאי לרשום אותו. גשר הוא נקודת כניסה לא רשומה עבור משתמשים ברשתות מצונזרות. הוא זקוק לקישוריות של 24/7 ופורט TCP (פרוטוקול בקרת שידור) אחד פתוח, מה שהופך אותו לדבר בעל הערך הרב ביותר שמכונה קטנה יכולה לעשות. שניהם מתאימים לחומרה שכבר יש לכם. צומת יציאה – לא.

כיצד מוצאים ספק המאפשר הפעלת exit node?

יש לשאול בכתב לפני ביצוע ההזמנה ולשמור את התשובה. הנחיות ה-exit של Tor מציעות לפעול בשני שלבים: ראשית, לברר אם הספק מאפשר הפעלת exit node כלל, ולאחר מכן לבדוק אם יקצה עבורו כתובת IP ייעודית או טווח כתובות. בקשה משולבת נוטה לקבל סירוב אוטומטי.

ארבע שאלות יבהירו אם הספק ערוך לכך באמת:

• האם תקצו כתובת IP ייעודית שלא מארחת שום דבר אחר, והאם תגדירו את רשומת ה-reverse DNS שאבקש?
• מי מקבל את הודעות ה-abuse, והאם תעבירו אותן אליי ללא עריכה, כשהכתובת של המדווח נשארת גלויה כדי שאוכל להשיב לו ישירות?
• מה קורה בעת תלונה ראשונה: האם תעבירו אותה אליי, או שתחסמו את הכתובת (null-route) לפני שתשאלו?
• כמה exit nodes כבר קיימים ברשת הזו? ההנחיות של Tor ברורות בנושא: "אין תועלת בריכוז יותר מדי exit nodes אצל ספק אינטרנט אחד ידידותי".

השאלה האחרונה חשובה יותר ממה שנראה. חלק מהערך של exit node נובע מהמיקום שלו ברשת. הוספת exit node לרשת שכבר מכילה חמישים כאלו תורמת פחות מאשר הפעלת מכונה חדשה ברשת אחרת. Relay Search מציג אילו רשתות כבר מארחות exit nodes, כך שניתן לבדוק זאת לפני שמתחייבים.

קבלו את התשובות לפני התשלום, ורכשו את המכונה בחשבון נפרד במקום להוסיף אותה לחשבון שבו נמצאים השרתים האחרים שלכם. רמת האבטחה של אירוח VPS תלויה בעיקר במה שאתם מציבים לצד מה, וזו הדוגמה הברורה ביותר לכלל הזה.

כתובת אחת, תפקיד אחד

הכתובת של צומת היציאה (exit) לא תארח שום דבר אחר. ללא אתרי אינטרנט, ללא שירותי דואר, ללא VPN, ללא לוח בקרה לניטור, וללא שרת גישה (jump host) אישי ל־SSH. הכתובת הזו תגיע לרשימות חסימה (blocklists), וכל שירות אחר שיתארח עליה יתחיל להיכשל בדרכים שקשה לבצע להן ניפוי שגיאות (debug). כתובת בעלת תפקיד יחיד מאפשרת גם לשמור על תשובה קצרה לתלונות: כתובת זו היא צומת יציאה של Tor, ואינה משמשת לשום דבר אחר.

לפני הפעלת Tor, יש לבצע את עבודת התחזוקה השוטפת. הגדירו גישת SSH מבוססת מפתחות בלבד עם השבתה של כניסה באמצעות סיסמה, והגדירו firewall שמאפשר רק את הפורטים שאתם מפרסמים. המדריך אבטחת SSH בשרת VPS מכסה את החלק הראשון, והמדריך יסודות ה־firewall מסוג ufw מכסה את השני. צומת יציאה מפרסם לעולם בדיוק שני פורטים: ה־ORPort שמעביר את תעבורת Tor, ופורט 80 עבור דף ההודעה של צומת היציאה. כל השאר נשאר סגור.

הפעילו עדכונים אוטומטיים (unattended upgrades), כיוון שצומת יציאה שמריץ גרסה ישנה של Tor מהווה בעיה עבור כל משתמש שתעבורתו מנותבת דרכו.

sudo apt update && sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

אל תוסיפו רישום לוגים (logging). לכידת טקסט גלוי (plaintext) שיוצא מצומת יציאה היא קלה מבחינה טכנית, וזהו הדבר היחיד שמפעיל צומת לעולם אסור לו לעשות. ה-שאלות נפוצות משפטיות של ה-EFF בנושא Tor מנחות את המפעילים שלא לעשות זאת, כיוון שחוקי האזנת סתר בארצות הברית וחוקים דומים במדינות אחרות עלולים ליצור חבות משפטית בגין בחינת תעבורה זו. שמרו על רמת הרישום המוגדרת כברירת מחדל ב־Tor (רמת notice) ולא מעבר לכך.

התקנת Tor ממאגר הבית של Tor Project

חבילות ההפצה נוטות להתיישן. השתמשו במאגר הרשמי של Tor Project כדי להבטיח שתיקוני אבטחה יגיעו ביום שבו הם משוחררים. נכון לאוגוסט 2026, סדרת הגרסאות היציבה הנוכחית היא 0.4.9.

sudo apt update
sudo apt install -y apt-transport-https gnupg wget
lsb_release -cs

כתבו את /etc/apt/sources.list.d/tor.sources, והחליפו את noble בשם הקוד ש־lsb_release -cs הציג:

Types: deb deb-src
URIs: https://deb.torproject.org/torproject.org/
Suites: noble
Components: main
Signed-By: /usr/share/keyrings/deb.torproject.org-keyring.gpg

הוסיפו את מפתח החתימה ולאחר מכן בצעו התקנה:

wget -qO- https://deb.torproject.org/torproject.org/A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89.asc | gpg --dearmor | sudo tee /usr/share/keyrings/deb.torproject.org-keyring.gpg >/dev/null
sudo apt update
sudo apt install -y tor deb.torproject.org-keyring
tor --version

החבילה deb.torproject.org-keyring שומרת על המפתח מעודכן באופן עצמאי, כך שהמאגר לא יפסיק לעבוד ביום שבו המפתח מתחלף. אם apt update מדווח על אותו מאגר שהוגדר פעמיים, סימן שיש לכם גם קובץ .list וגם קובץ .sources המגדירים אותו, והקישור שגיאת מקור כפול בפורמט deb822 מסביר כיצד לפתור זאת.

DNS: ה־exit שלכם פותר שמות עבור כל מי שמשתמש בו

צומת יציאה (exit) מבצע את פתרון השמות עבור כל מעגל (circuit) שעובר דרכו, כך שה־resolver שלו רואה זרם של שמות השייכים לאנשים אחרים. אם תפנו את הבקשות ל־resolver ציבורי גדול, אתם מוסרים את כל הזרם הזה לחברה אחת, וזהו ריכוז כוח ש־Tor מבקש ממפעילי צמתים להימנע ממנו. במקום זאת, הריצו על השרת resolver מקומי שמבצע תיקוף (validating) ושמירה במטמון (caching).

sudo apt install -y unbound bind9-dnsutils
sudo cp /etc/resolv.conf /etc/resolv.conf.backup
echo "nameserver 127.0.0.1" | sudo tee /etc/resolv.conf
sudo chattr +i /etc/resolv.conf
sudo systemctl enable --now unbound

הפקודה chattr +i מסמנת את הקובץ כבלתי ניתן לשינוי (immutable), כיוון שלקוחות DHCP וכן resolvconf נוהגים לשכתב את /etc/resolv.conf לפי לוח הזמנים שלהם. ללא פעולה זו, אתחול עלול להחזיר את הגדרות הפתרון ל־resolver של ספק האינטרנט, מבלי שתקבלו התראה על כך. ההנחיות של Tor עבור Debian ו-Ubuntu מפעילות גם צמצום של שם השאילתה (query name minimisation), ששולח לכל שרת שמות רק את החלק בשם שהוא באמת זקוק לו:

server:
    qname-minimisation: yes

הניחו את התוכן הזה בקובץ תחת /etc/unbound/unbound.conf.d/, ולאחר מכן ודאו שה־resolver משיב:

sudo systemctl restart unbound
dig +short example.com @127.0.0.1

כתובת בתגובה מעידה על כך ש-unbound פועל. אם unbound נכשל בהפעלה עם address already in use, סימן שתהליך אחר תופס את פורט 53: הריצו את sudo ss -lntup | grep :53 ובדקו מי הבעלים של הפורט. ב-Ubuntu, השירות systemd-resolved מאזין בכתובת 127.0.0.53, ולכן הוא אינו מתנגש עם unbound שמאזין ב-127.0.0.1.

קובץ ה-torrc עבור ממסר יציאה (Exit Relay)

חבילת ה-Debian קוראת את /etc/tor/torrc. זוהי תצורת היציאה המלאה והרלוונטית.

Nickname     exampleExit01
ORPort       443
ExitRelay    1
SocksPort    0
ContactInfo  email:tor[]example.org abuse:abuse[]example.org url:https://example.org ciissversion:3
ReducedExitPolicy 1
Log          notice syslog

כל שורה כאן היא קריטית לתפקוד, לכן יש לעבור עליהן אחת אחת.

ORPort 443 הוא הפורט שדרכו ממסרים אחרים מתחברים אליך. פורט 443 עובר דרך רשתות מגבילות החוסמות פורטים לא שגרתיים, לכן הממסר שלך יהיה נגיש ליותר אנשים מאשר בפורט 9001 המסורתי. ניתן להשתמש ב-443 רק אם אין שירות אחר בשרת שזקוק לו, וזו סיבה נוספת להקצות כתובת ייעודית.

SocksPort 0 מכבה את ה-SOCKS proxy המקומי. ממסר אינו זקוק לו לעולם, ופורט SOCKS המאזין לכתובת ציבורית הוא proxy פתוח שיתגלה וינוצל לרעה תוך שעות.

ExitRelay 1 הוא המתג שהופך את הממסר לממסר יציאה. הגדר אותו במפורש במקום להסתמך על ברירת המחדל, כדי שקובץ התצורה יצהיר בבירור על תפקיד המכונה.

ContactInfo מתפרסם בספרייה הציבורית לעיני כל. כתוב אותו בפורמט ContactInfo Information Sharing Specification, שכן זהו הפורמט שבו כלי הרשת משתמשים, והקפד לכלול בו את ciissversion:3. השימוש ב-[] במקום @ הוא המוסכמה הנהוגה במפרט זה כדי להקשות על סורקי כתובות. השתמש בתיבת דואר שאתה בודק מדי יום, שכן לשם יגיעו הודעות על ניצול לרעה (abuse).

אם בשרת מוגדר IPv6 תקין, הוסף IPv6 ORPort ואפשר יציאת IPv6. אם לא, השאר את שניהם ריקים, שכן ממסר שמפרסם כתובת שאינו יכול להשתמש בה בפועל ייכשל בבדיקת הנגישות העצמית שלו.

ORPort   [2001:db8::1]:443
IPv6Exit 1

מדיניות יציאה: אילו פורטים מותרים

מדיניות היציאה היא רשימת היעדים שאליהם ה-relay שלכם מוכן להתחבר. Tor קורא את הרשימה מלמעלה למטה, והכלל הראשון שתואם הוא זה שקובע. ReducedExitPolicy 1 בוחר רשימה מוגדרת של כ-70 פורטים המכסים גלישה באינטרנט, שליחת דואר, צ'אט ו-git, והוא משמיט פורטים שיוצרים את מרבית התלונות. זוהי נקודת התחלה מתאימה עבור ה-exit הראשון שלכם.

כדאי להכיר שני כללים בשמם. ExitPolicyRejectPrivate מופעל כברירת מחדל ומונע מה-exit להתחבר לטווח כתובות פרטיות ולכתובות של ה-relay עצמו; זה מה שמונע מה-exit שלכם להיות מופנה לרשת הפנימית של ספק השירות שלכם. פורט 25 (SMTP, פרוטוקול העברת דואר פשוט) חסום וצריך להישאר חסום, כיוון שהתרתו הופכת את ה-relay למקור של דואר זבל, והכתובת תיחסם בתוך ימים ספורים.

כדי ש-exit יהיה שימושי, עליו לאפשר את פורטים 80 ו-443. ה-תיעוד של Tor בנושא exit relay מציין זאת במפורש כמינימום הנדרש. אם הספק שלכם דורש מדיניות מחמירה יותר מהמדיניות המצומצמת (reduced policy), גם exit שמאפשר רק גלישה באינטרנט מהווה תרומה משמעותית:

ExitPolicy accept *:80
ExitPolicy accept *:443
ExitPolicy reject *:*

סיימו את הרשימה עם reject *:* כדי שהמדיניות שלכם תהיה שלמה בפני עצמה וששום דבר נוסף לא יורש ממנה. המדיניות המצומצמת אכן מאפשרת את פורט 22 (SSH), שהוא המקור הרגיל לדיווחים על ניסיונות brute-force, לכן הוסיפו את ExitPolicy reject *:22 מעל שאר הכללים אם אתם מעדיפים לא להתמודד עם סוג זה של פניות. פורטי שיתוף קבצים בטווח 6881-6999 הם המקור הרגיל להודעות על הפרת זכויות יוצרים, והמדיניות המצומצמת כבר מחריגה אותם.

שינוי במדיניות מגיע ללקוחות רק לאחר שה-relay מפרסם descriptor חדש וה-directory מפיץ אותו, לכן המתינו מספר שעות לפני שתבחנו את ההשפעה.

פרטי קשר, מפתחות משפחה ורישום ה־relay

רישום של exit relay משמעו קישורו לשם שזרים יכולים לאמת. שני מנגנונים מבצעים זאת, והם פועלים יחד.

הראשון הוא קובץ מוכר (well-known). פרסמו את זהות המשפחה שלכם בדומיין שבשליטתכם, ולאחר מכן ציינו הוכחה זו בתוך ContactInfo:

ContactInfo email:tor[]example.org url:https://example.org proof:uri-familyid-ed25519 ciissversion:3

הקובץ נמצא ב־https://example.org/.well-known/tor-relay/ed25519-family-id.txt ומכיל את מזהה המשפחה שלכם. כעת, כל אחד יכול לאשר שמי שטוען לבעלות על ה־relays הללו, שולט גם בדומיין זה. זהו ההבדל בין כתובת ליצירת קשר לבין כתובת מאומתת.

השני הוא המשפחה עצמה. אם אתם מפעילים יותר מ־relay אחד, הרשת צריכה לדעת שהם חולקים מפעיל, כדי שלקוח לעולם לא יבנה מעגל (circuit) דרך שניים מהשרתים שלכם. גרסאות tor עדכניות עושות זאת באמצעות מפתח משפחה, הנקרא Happy Families, ב־relays המריצים גרסה 0.4.9.2-alpha ומעלה:

tor --keygen-family exampleFamily

פעולה זו כותבת את exampleFamily.secret_family_key ומדפיסה שורת FamilyId. העתיקו את קובץ המפתח הסודי לתוך ספריית המפתחות של כל relay (/var/lib/tor/keys ב־Debian וב־Ubuntu), שמרו על הסיומת .secret_family_key בשם הקובץ, הוסיפו את שורת ה־FamilyId המודפסת לכל torrc, ובצעו טעינה מחדש (reload) ל־tor. התיעוד של Tor מבהיר שעליכם עדיין להגדיר את האופציה המיושנת MyFamily המפרטת את ה־fingerprint של כל relay עד שהפרויקט יודיע שאין בה עוד צורך, לכן הגדירו את שניהם. ה־fingerprint של כל relay נמצא ב־/var/lib/tor/fingerprint.

החל מהשרת השני והשלישי, התפעול מתחיל להיות משמעותי, ו־ניהול מספר שרתי Linux בו-זמנית מהווה כאן את אותה בעיה כמו בכל מקום אחר. בצעו גיבוי ל־/var/lib/tor/keys מחוץ לשרת. אם תאבדו אותו, ה־relay יחזור כזר, ויצטרך לצבור מחדש כל flag וכל מוניטין מאפס.

הירשמו גם ל-רשימת התפוצה tor-relays. שינויים המשפיעים על מפעילים מוכרזים שם תחילה.

Reverse DNS והודעת יציאה בפורט 80

הגדירו רשומת reverse DNS לפני שהממסר (relay) מתחיל להעביר תעבורה. ההנחיות של Tor לממסרי יציאה ממליצות לסמן את מהות השרת, בדומה ל-tor-exit-01.example.org. הסיבה לכך מעשית: כאשר כתובת לא מוכרת מופיעה בלוגים של מישהו, הפעולה הראשונה שמנהל המערכת מבצע היא reverse lookup. שם המכיל את הביטוי "tor-exit" עונה על השאלה עוד לפני שמישהו יפנה אליכם, מה שמונע חלק ניכר מהתלונות הפוטנציאליות. בקשו מספק התשתית להגדיר רשומת PTR (מצביע), והוסיפו רשומת forward תואמת בצד שלכם.

לאחר מכן, הגישו דף הודעה בפורט 80 שמסביר זאת במילים. מדריכים ישנים מציעים לעשות זאת באמצעות ההגדרה DirPortFrontPage של Tor, שתלויה ב-DirPort. האפשרות DirPort הוצאה משימוש עבור ממסרים החל מגרסה 0.4.6.5 של Tor, לכן השתמשו בשרת אינטרנט קטן במקומה.

sudo apt install -y nginx
sudo install -d -m 755 /srv/tor-exit-notice

כתבו את /srv/tor-exit-notice/index.html:

<!DOCTYPE html>
<html>
<head><title>This is a Tor exit relay</title></head>
<body>
<h1>This is a Tor exit relay</h1>
<p>Traffic from this address was sent by a user of the Tor network. It did not
come from the operator of this machine, and this machine keeps no record of
who sent it.</p>
<p>Operator: Example Org. Abuse reports: abuse@example.org. Every report gets a
reply from a person.</p>
<p>To check whether this address was a Tor exit at a given date and time:
https://metrics.torproject.org/exonerator.html</p>
</body>
</html>

כתבו את בלוק השרת הבא לתוך /etc/nginx/sites-available/tor-exit-notice:

server {
    listen 80 default_server;
    listen [::]:80 default_server;
    server_name _;
    root /srv/tor-exit-notice;
    index index.html;
    access_log off;
}

הפעילו אותו, הסירו את אתר ברירת המחדל של Nginx, ובדקו את התוצאה:

sudo ln -sf /etc/nginx/sites-available/tor-exit-notice /etc/nginx/sites-enabled/tor-exit-notice
sudo rm -f /etc/nginx/sites-enabled/default
sudo nginx -t && sudo systemctl reload nginx
curl -s http://127.0.0.1/ | head -n 5

nginx -t שמדווח על syntax is ok ו-test is successful מעיד על כך שהקובץ תקין מבחינת תחביר. הפקודה curl אמורה להדפיס את השורות הראשונות של הודעתכם. אם היא מדפיסה את דף הפתיחה של Nginx, סימן שאתר ברירת המחדל עדיין פעיל והבלוק שלכם אינו בשימוש.

הפעל אותו וקרא את פלט הלוגים

sudo systemctl restart tor@default
sudo journalctl -u tor@default -n 50 --no-pager

בתוך דקות ספורות, הלוג אמור להציג שורה המציינת כי ממסרים (relays) אחרים יכולים ליצור איתך קשר:

Self-testing indicates your ORPort is reachable from the outside. Excellent.

אם שורה זו אינה מופיעה, ה-ORPort אינו נגיש. ודא ש-tor מאזין באמצעות sudo ss -lntp | grep 443, ולאחר מכן בדוק את הפורט ממכונה אחרת באמצעות nc -vz your.address.here 443. הסיבה השכיחה לכך היא firewall הממוקם לפני ה-VPS, בין אם הוא מוגדר על ידך או דרך לוח הבקרה של ספק השרת.

בדוק שהשירות עולה מחדש לאחר reboot באמצעות systemctl is-enabled tor, אשר אמור להדפיס enabled.

הממסר יופיע ב-Relay Search כשלוש שעות לאחר הפעלתו, תחת הכינוי שבחרת. היקף התעבורה יעלה בהדרגה במהלך מספר ימים, כיוון שמנגנון מדידת רוחב הפס של הרשת נדרש לנטר את הממסר שלך לפני שלקוחות יעניקו לו משקל משמעותי. מצב שבו ממסר יציאה (exit relay) חדש אינו מעביר כמעט תעבורה ביום הראשון הוא תקין.

נוהל הטיפול בתלונות ודוגמאות לפנייה

כתבו את נוהל הטיפול לפני קבלת התלונה הראשונה, שכן זו מגיעה בדרך כלל במהלך השבוע הראשון. רוב הפניות הללו נוצרות באופן אוטומטי. על פי ההנחיות של Tor למפעילי Exit nodes, כ־80% מהדיווחים הם אוטומטיים, ותשובה סטנדרטית מספקת לרוב המקרים הנותרים.

להלן מה שמתקבל בפועל: דיווח על סריקה או על ניסיון brute-force שהופק על ידי מערכת זיהוי חדירות של צד שלישי, הכולל את כתובת ה-IP שלכם וחותמת זמן. הודעת הפרת זכויות יוצרים, אם המדיניות שלכם מאפשרת פורטים של שיתוף קבצים. תלונה על ספאם בפורום או בתגובות מאת בעל אתר. לעיתים רחוקות תתקבל בקשת שימור נתונים (preservation request) או צו מבית משפט מרשויות אכיפת החוק; אלו מקרים מסוג אחר, וזה השלב שבו עליכם לפנות לייעוץ משפטי במקום להשתמש בתבנית מוכנה.

התשובה צריכה להיות קצרה, והיא כמעט זהה בכל פעם:

Hello,

Thank you for the report. The address 203.0.113.10 is a Tor exit relay,
operated by <your name> at <your organisation>. The connection you saw was
made by a user of the Tor network. It did not originate on this machine.

This relay keeps no record of which user made which connection, so I cannot
identify the sender and there are no logs for me to hand over.

You can confirm that this address was a Tor exit at the date and time in
question here: https://metrics.torproject.org/exonerator.html

If you would prefer to stop Tor traffic reaching your service, the current
list of exit addresses is published here:
https://check.torproject.org/torbulkexitlist

I read this mailbox personally and will answer any follow-up.

<your name>

ארבעה הרגלים הופכים את התהליך ליעיל. השיבו בתוך יום עבודה אחד, מכתובת הדוא"ל המוגדרת ב-ContactInfo, וחתמו בשמכם המלא. לעולם אל תציעו לזהות משתמש, כיוון שאינכם יכולים לעשות זאת; מפעיל שרומז אחרת יאלץ להפר את הבטחתו בהמשך. שמרו כל תשובה בתיקייה ייעודית, כך שפנייה שנייה בנוגע לאותו אירוע תקבל את אותה התשובה. אם ספק התשתית מעביר תלונה בצירוף אזהרת השעיה, השיבו קודם לספק ורק לאחר מכן למתלונן.

שני קישורים נושאים ברוב הנטל בתשובות אלו. ExoneraTor עונה על השאלה שמעניינת את החוקר: האם כתובת זו שימשה כ-Tor exit node ברגע נתון. ה-bulk exit list הוא רשימה פשוטה של כתובות ה-exit הפעילות, כתובת אחת בכל שורה, עבור כל מי שהחליט לחסום את Tor ומעדיף לעשות זאת בצורה מדויקת במקום לנחש.

רוחב פס, עלויות והממסר השני

צמתים מסוג Exit מעבירים תעבורה ממשית. קבעו את תקרת התעבורה החודשית לפני ביצוע ההזמנה, ובררו כיצד ספק השירות מחייב לאחר חריגה מהמכסה, שכן העלות האמיתית של VPS תלויה לרוב במכסת התעבורה ולא במחיר הנקוב. Tor מאפשר לאכוף את הצד שלכם בהסכם:

AccountingMax 4 TBytes
AccountingStart month 1 00:00
RelayBandwidthRate 20 MBytes
RelayBandwidthBurst 25 MBytes

ההגדרה AccountingMax גורמת ל-Tor לעבור למצב תרדמת לאחר העברת נפח הנתונים שהוגדר בתקופת החשבון, ולהתעורר בתחילת התקופה הבאה. השוו את נתוני החודש הראשון מול המונה של ספק השירות לפני שתסתמכו על המספרים, שכן השניים לא תמיד סופרים את אותם הבתים. ההגדרה RelayBandwidthRate מגבילה את קצב התעבורה המתמשך, מה ששומר על ערוץ התקשורת תקין ועל הספק רגוע.

כאשר מוסיפים צומת Exit שני, הציבו אותו ברשת שונה ולא באותו ארון תקשורת (rack) של הראשון. גיוון הוא חלק משמעותי מהתרומה של צומת Exit, ושני שרתים באותו מיקום עלולים להיכשל יחד. קשרו אותם למשפחה אחת (family), פרסמו את אותו איש קשר מאומת עבור שניהם, והשיבו להודעות דואר אלקטרוני משניהם. צומת Exit שאף אחד לא יכול ליצור איתו קשר נתפס כבעיה אנונימית. צומת Exit שהמפעיל שלו משיב באותו יום נתפס כשרת שיש מאחוריו אדם, וזהו המצב בפועל.

FAQ

האם אני יכול להריץ Tor exit node על שרת VPS שכבר יש לי?

לא, וזהו המקרה היחיד שבו יש להקפיד על כך. צומת יציאה (exit node) זקוק לכתובת ייעודית שאינה מארחת שום דבר אחר, אצל ספק שהסכים מראש לשאת בתעבורת יציאה ולהעביר אליך דואר תלונות (abuse mail) ללא עריכה. בשרת VPS למטרות כלליות, כולל שלנו, הכתובת כבר מבצעת תפקיד אחר וחולקת סביבה עם לקוחות שמריצים שירותים רגילים. הריצו relay שאינו צומת יציאה או גשר obfs4 על המכונה שברשותכם. אלו שירותים מועילים באמת, הם כמעט אינם גוררים תלונות, והם אינם דורשים דבר מעבר לשרת שאתם כבר משלמים עליו.

כמה דואר תלונות מקבל Tor exit relay, ומי מקבל אותו?

זה תלוי במדיניות היציאה שלכם. עם ReducedExitPolicy 1, כאשר פורט 25 חסום ופורטים של שיתוף קבצים מוחרגים, רוב מה שמגיע הוא סריקות אוטומטיות ודיווחים על ניסיונות brute-force. הנחיות היציאה של Tor מצביעות על כך שדיווחים אוטומטיים מהווים כ-80% מהסך הכל. הדואר מגיע למי שדסק ה-abuse של הספק מעביר אליו את הפניות, וזו הסיבה שצריך לשאול לפני ההזמנה האם הם מעבירים את הפניות אליכם כשהן כוללות את כתובת המדווח ללא שינוי. פרסמו את אותה כתובת ב-ContactInfo ובעמוד ההודעה בפורט 80, והשיבו תוך יום עבודה אחד.

האם אני חייב לפרסם את שמי האמיתי וכתובת האימייל שלי?

כן. ContactInfo מתפרסם בספריית ה-relay הציבורית וכל אחד יכול להוריד אותו, שם ה-reverse DNS מצהיר מהי המכונה, ועמוד ההודעה בפורט 80 חוזר על כך. השקיפות הזו היא חלק מהתכנון, לא תופעת לוואי. צומת יציאה ללא איש קשר פעיל מטופל כגורם מטרד אנונימי, וחלק מהלקוחות מחריגים צמתי יציאה שאינם מפרסמים פרטי קשר כלל. הוסיפו proof:uri-familyid-ed25519 ואת הקובץ /.well-known/tor-relay/ed25519-family-id.txt תחת דומיין שבשליטתכם, כך שפרטי הקשר יהיו ניתנים לאימות ולא רק הצהרה בעלמא.

מדוע ה-exit relay החדש שלי כמעט אינו מעביר תעבורה?

ראשית, בדקו ש-journalctl -u tor@default מכיל את Self-testing indicates your ORPort is reachable from the outside. Excellent., כיוון ש-relay שנכשל בבדיקת הנגישות שלו לעולם לא יפורסם ולא יעביר תעבורה כלל. אם השורה קיימת, התשובה היא בדרך כלל עניין של זמן. relay מופיע ב-Relay Search כשלוש שעות לאחר ההפעלה, ולקוחות שולחים אליו תעבורה משמעותית רק לאחר שמדידת רוחב הפס של הרשת זיהתה אותו, תהליך שלוקח ימים. מדיניות המאפשרת את פורטים 80 ו-443 נדרשת גם היא לפני שה-relay שלכם יטופל כצומת יציאה.