Tor exit node चालवण्याचे मार्गदर्शन

Tor exit node काय करतो आणि तुमची ओळख कशी ठरवतो

Tor exit node हा circuit मधील शेवटचा relay असतो. तो destination शी connection उघडतो. त्यामुळे destination च्या logs मध्ये user च्या address ऐवजी तुमच्या server चा address नोंदवला जातो. या मार्गदर्शकातील इतर सर्व निर्णय या एका वस्तुस्थितीवर आधारित आहेत. त्या exit node मधून जाणाऱ्या प्रत्येक गोष्टीचा source म्हणून त्याचा address पाहिला जातो. त्यामुळे हा address इतर कोणतेही काम करत नसावा आणि तो अशा provider कडे असावा, ज्याने हे network traffic वाहून नेण्यास संमती दिली आहे.

Exit node चालवणे म्हणजे लपणे नव्हे. हा relay public directory मध्ये सूचीबद्ध असतो आणि तो directory कोणीही download करू शकतो. तुमचा contact address त्या directory मध्ये ContactInfo अंतर्गत असतो. तुमचे reverse DNS (domain name system) नाव त्या machine चे स्वरूप स्पष्ट करते. Port 80 वर त्याच आशयाचे पान दिले जाते. Abuse mail ला तुम्ही स्वतः, तुमच्या नावाने उत्तर देता. या प्रणालीमध्ये exit operator पेक्षा अधिक स्पष्टपणे ओळखता येणारी व्यक्ती कोणीही नाही. हेच या कामाचे स्वरूप आहे आणि त्यामुळेच हे काम कार्य करते.

आम्ही असे exit relay चालवतो. SSD Nodes free expression साठीच्या योगदानाचा भाग म्हणून अनेक देशांमध्ये exit relay चालवते. Exit traffic साठी जाणीवपूर्वक नोंदणी केलेल्या providers कडून आम्ही त्या machines भाड्याने घेतो. त्या machines साठी provider आम्ही नाही. हे जाणीवपूर्वक केलेले आहे. पुढील section मध्ये त्याचे कारण स्पष्ट केले आहे.

Exit कुठे योग्य आहे आणि कुठे नाही

सर्वसाधारण वापराच्या VPS (virtual private server) वर exit relay चालवणे योग्य नाही. आमच्या VPS बाबतही हेच लागू होते. सर्वसाधारण नेटवर्कमध्ये शेजारील पत्त्यांवर असलेल्या हजारो असंबंधित ग्राहकांच्या websites, mail, backups आणि control panels साठी traffic वाहून नेला जातो. Exit traffic मुळे त्या पत्त्यांपैकी एखादा पत्ता scanning reports आणि spam blocklists मध्ये येतो. त्याचे परिणाम शेजारील ग्राहकांवरही होतात. Exit relay योग्यरीत्या host करणाऱ्या providers ने त्यासाठी स्वतंत्र address space आणि Tor म्हणजे काय हे आधीपासून माहीत असलेला abuse desk अशी व्यवस्था केलेली असते.

म्हणून हा guide लिहिणारा host तुम्हाला मशीन दुसरीकडे खरेदी करण्यास सांगत आहे. हाच त्यातील उपयुक्त भाग आहे. एखाद्या पत्त्यावर exit traffic चा काय परिणाम होतो हे आम्हाला माहीत आहे, कारण आमचा traffic वाहून नेण्यासाठी आम्ही इतरांना पैसे देतो. आम्ही त्यांना पैसे देतो, कारण exit traffic योग्यरीत्या वाहून नेणे हा सर्वसाधारण वापराचे servers विकण्यापेक्षा वेगळा व्यवसाय आहे.

Tor Project हेच अधिक स्पष्ट शब्दांत सांगतो. त्याच्या relays चे प्रकार या पानावर exit relays ना "सर्व relays पैकी सर्वाधिक कायदेशीर जोखीम आणि दायित्व असते" आणि "तुम्ही तुमच्या घरातून Tor exit relay चालवू नये" असे नमूद केले आहे. तुमचे स्वतःचे projects असलेला सर्वसाधारण VPS दिसतो त्यापेक्षा तुमच्या घराच्या अधिक जवळचा असतो. हे असे machine आहे ज्याची तुम्हाला काळजी असते आणि अशा address वर चालते जो स्वच्छ ठेवणे तुम्हाला आवश्यक असते.

तुमच्याकडे सामान्य VPS असेल आणि या आठवड्यात network ला मदत करायची असेल, तर त्यावर non-exit relay किंवा bridge चालवा. हा दुय्यम पर्याय नाही. हे वेगळ्या जोखीम-प्रोफाइलचे वेगळे काम आहे आणि network ला दोन्हींची गरज आहे. Non-exit relay कोणत्याही destination शी connection उघडत नाही. त्यामुळे त्याबाबत जवळजवळ कोणत्याही complaints येत नाहीत. Tor च्या मार्गदर्शनानुसार ते list करण्यास योग्य ठरण्यापूर्वी प्रत्येक दिशेने किमान 2 MByte/s (megabytes per second) वेग असावा. Bridge हा censorship असलेल्या networks मधील users साठी list न केलेला entry point असतो. त्यासाठी 24/7 connectivity आणि एक खुला TCP (transmission control protocol) port आवश्यक असतो. त्यामुळे लहान box कडून देता येणारी ही सर्वाधिक मूल्याची सेवा ठरते. ही दोन्ही कामे तुमच्याकडे आधीपासून असलेल्या hardware वर योग्य आहेत. Exit relay योग्य नाही.

एक्झिटसाठी अनुकूल provider कसा शोधाल?

ऑर्डर देण्यापूर्वी लेखी स्वरूपात विचारा आणि मिळालेले उत्तर जतन करा. Tor च्या exit guidelines नुसार दोन टप्प्यांत विचारणे योग्य ठरते: प्रथम provider ला Tor exit मान्य आहे का ते विचारा. त्यानंतर त्यासाठी स्वतंत्र address किंवा range देणार का ते विचारा. दोन्ही प्रश्न एकाच वेळी विचारल्यास provider कडून सवयीने नकार मिळण्याची शक्यता वाढते.

Provider यासाठी प्रत्यक्षात सज्ज आहे का, हे चार प्रश्नांमधून समजते.

• इतर कोणतीही सेवा host नसलेला dedicated IP address तुम्ही assign कराल का? तसेच, मी सांगितलेला reverse DNS record सेट कराल का?
• abuse mail कोणाला मिळतो? तो reporter चा address जसाच्या तसा ठेवून, कोणताही बदल न करता, मला forward कराल का, जेणेकरून मी त्यांना थेट उत्तर देऊ शकेन?
• पहिली complaint आल्यावर काय होते? ती मला forward करता का, की आधी address null-route करून नंतर विचारता?
• या network वर आधीपासून किती exits आहेत? Tor च्या guidelines मध्ये याबाबत स्पष्ट सांगितले आहे: "it does not help if we pool too many exits at one friendly ISP".

शेवटचा प्रश्न दिसतो त्यापेक्षा अधिक महत्त्वाचा आहे. Exit ची काही उपयुक्तता तो network मध्ये कुठे आहे यावर अवलंबून असते. आधीच पन्नास exits असलेल्या network मध्ये आणखी एक exit जोडल्याने, नवीन ठिकाणी ठेवलेल्या त्याच machine पेक्षा कमी मूल्य वाढते. Relay Search मधून कोणते networks आधीच exits वाहून नेत आहेत, हे दिसते. त्यामुळे बांधिलकी स्वीकारण्यापूर्वी तुम्ही तपासणी करू शकता.

तुम्ही पैसे देण्यापूर्वी उत्तरे मिळवा. तसेच, इतर servers असलेल्या account मध्ये ही machine जोडण्याऐवजी तिच्यासाठी स्वतंत्र account वापरा. VPS hosting किती सुरक्षित आहे हे मुख्यतः कोणत्या सेवांच्या शेजारी कोणती सेवा ठेवता यावर अवलंबून असते. या नियमाचे हे सर्वात स्पष्ट उदाहरण आहे.

एक पत्ता, एकच काम

Exit relay च्या पत्त्यावर इतर कोणतीही सेवा ठेवू नका. Website, mail, VPN, monitoring dashboard किंवा personal SSH (secure shell) jump host ठेवू नका. हा पत्ता blocklists मध्ये जाईल. त्या पत्त्यावर असलेल्या इतर सेवांमध्ये अशा प्रकारे बिघाड सुरू होईल की त्यांचे debugging करणे कठीण होईल. एकाच कामासाठी वापरलेला पत्ता तक्रारींना दिलेले उत्तरही संक्षिप्त ठेवतो: हा पत्ता exit relay आहे; येथे इतर काहीही नाही.

tor सुरू करण्यापूर्वी सामान्य सुरक्षा कामे पूर्ण करा. Password login बंद करून केवळ key-based SSH वापरा. तसेच तुम्ही सार्वजनिकपणे उपलब्ध करून देत असलेल्या portsनाच परवानगी देणारा firewall वापरा. VPS वरील SSH hardening मध्ये पहिल्या भागाचे वर्णन आहे आणि ufw firewall ची मूलतत्त्वे मध्ये दुसऱ्या भागाचे वर्णन आहे. Exit relay जगासमोर नेमके दोन ports उघडतो: Tor traffic वाहून नेणारा ORPort आणि exit notice page साठी port 80. इतर सर्व ports बंद ठेवा.

Unattended upgrades सुरू करा. जुना tor build वापरणारा exit relay त्यातून मार्गित होणाऱ्या प्रत्येक वापरकर्त्यासाठी समस्या निर्माण करतो.

sudo apt update && sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

Logging वाढवू नका. Exit relay मधून बाहेर जाणारा plaintext capture करणे तांत्रिकदृष्ट्या सोपे आहे. Operator ने हे कधीही करू नये. EFF Tor legal FAQ मध्ये operatorsना असे न करण्याचा सल्ला दिला आहे. United States मधील wiretap law आणि इतर ठिकाणचे समतुल्य कायदे त्या traffic ची तपासणी केल्यामुळे कायदेशीर जबाबदारी निर्माण करू शकतात. tor चे default notice-level logging तसेच ठेवा आणि त्यापेक्षा अधिक logging करू नका.

Tor Project repository मधून Tor स्थापित करा

Distribution packages उशिरा उपलब्ध होतात. त्यामुळे security fixes उपलब्ध होताच मिळावेत यासाठी Tor Project चे स्वतःचे repository वापरा. August 2026 पर्यंत सध्याची stable series 0.4.9 आहे.

sudo apt update
sudo apt install -y apt-transport-https gnupg wget
lsb_release -cs

`lsb_release -cs ने दाखवलेल्या codename ने noble बदलून /etc/apt/sources.list.d/tor.sources` लिहा:

Types: deb deb-src
URIs: https://deb.torproject.org/torproject.org/
Suites: noble
Components: main
Signed-By: /usr/share/keyrings/deb.torproject.org-keyring.gpg

Signing key जोडा आणि त्यानंतर install करा:

wget -qO- https://deb.torproject.org/torproject.org/A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89.asc | gpg --dearmor | sudo tee /usr/share/keyrings/deb.torproject.org-keyring.gpg >/dev/null
sudo apt update
sudo apt install -y tor deb.torproject.org-keyring
tor --version

`deb.torproject.org-keyring package ही key स्वतःहून अद्ययावत ठेवते. त्यामुळे key rollover झाल्याच्या दिवशी repository काम करणे बंद पडत नाही. apt update ने तेच repository दोनदा configured असल्याचे दाखवले, तर त्याचे नाव देणारी .list file आणि .sources` file दोन्ही आहेत. deb822 duplicate source error दूर करण्याची पद्धत याचे स्पष्टीकरण देते.

DNS: ते वापरणाऱ्या प्रत्येकासाठी तुमचा exit नावे resolve करतो

तुमच्या exit मधून जाणाऱ्या प्रत्येक circuit साठी name lookup केला जातो. त्यामुळे त्याचा resolver इतर लोकांच्या नावांचा सतत प्रवाह पाहतो. हा प्रवाह एखाद्या मोठ्या public resolver कडे पाठवल्यास तो संपूर्ण प्रवाह एका कंपनीकडे सोपवला जातो. हीच केंद्रीकरणाची पद्धत Tor exit operators ने टाळावी अशी अपेक्षा करतो. त्याऐवजी त्या मशीनवर validating, caching resolver चालवा.

sudo apt install -y unbound bind9-dnsutils
sudo cp /etc/resolv.conf /etc/resolv.conf.backup
echo "nameserver 127.0.0.1" | sudo tee /etc/resolv.conf
sudo chattr +i /etc/resolv.conf
sudo systemctl enable --now unbound

DHCP (dynamic host configuration protocol) clients आणि resolvconf त्यांच्या वेळापत्रकानुसार /etc/resolv.conf पुन्हा लिहितात. chattr +i मुळे ही file immutable होते. हे न केल्यास reboot नंतर तुमचे lookups पुन्हा provider च्या resolver कडे जाऊ शकतात आणि असे झाल्याची कोणतीही सूचना मिळत नाही. Tor च्या Debian आणि Ubuntu सूचनांमध्ये query name minimisation देखील enable केली जाते. त्यामुळे प्रत्येक name server ला त्याला प्रत्यक्ष आवश्यक असलेलाच name चा भाग पाठवला जातो:

server:
    qname-minimisation: yes

हे /etc/unbound/unbound.conf.d/ अंतर्गत असलेल्या file मध्ये ठेवा. त्यानंतर resolver उत्तरे देतो का ते तपासा:

sudo systemctl restart unbound
dig +short example.com @127.0.0.1

Reply मध्ये address दिसल्यास unbound कार्यरत आहे. address already in use सह unbound सुरू होण्यात अपयशी ठरल्यास दुसरी process port 53 वापरत आहे. `sudo ss -lntup | grep :53` चालवून ती port कोणत्या process च्या ताब्यात आहे ते पाहा. Ubuntu वर systemd-resolved 127.0.0.53 वर listen करते. त्यामुळे 127.0.0.1 वर unbound शी तिचा port conflict होत नाही.

एक्झिट relay साठी torrc

Debian package /etc/tor/torrc वाचते. ही संपूर्ण exit-संबंधित configuration आहे.

Nickname     exampleExit01
ORPort       443
ExitRelay    1
SocksPort    0
ContactInfo  email:tor[]example.org abuse:abuse[]example.org url:https://example.org ciissversion:3
ReducedExitPolicy 1
Log          notice syslog

येथील प्रत्येक line महत्त्वाची आहे. त्यामुळे त्या एकावेळी एक तपासा.

ORPort 443 हे इतर relays तुमच्याशी जोडण्यासाठी वापरतात. restrictive networks असामान्य ports block करतात, त्यामुळे Port 443 वापरल्यास तुमचा relay पारंपरिक 9001 पेक्षा अधिक लोकांना reachable राहतो. या box वर Port 443 दुसऱ्या कोणत्याही सेवेला आवश्यक नसल्यासच तुम्ही तो वापरू शकता. Dedicated address साठी हा आणखी एक कारण आहे.

SocksPort 0 स्थानिक SOCKS proxy बंद करते. relay ला त्याची कधीही गरज नसते. Public address वर listening करणारा SOCKS port हा open proxy असतो. तो काही तासांत शोधला जाऊन गैरवापरला जाईल.

ExitRelay 1 ही setting मशीनला exit relay बनवते. Default वर अवलंबून राहण्याऐवजी ती स्पष्टपणे set करा. त्यामुळे configuration file मध्ये मशीनचे कार्य स्पष्टपणे नमूद राहते.

ContactInfo public directory मध्ये प्रकाशित केले जाते आणि ते कोणीही वाचू शकते. ते ContactInfo Information Sharing Specification format मध्ये लिहा. Network ची tooling हाच format parse करते. त्यात ciissversion:3 ठेवा. @ ऐवजी [] वापरणे ही specification मधील पद्धत आहे. यामुळे address scrapers चा वेग कमी होतो. तुम्ही दररोज वाचत असलेला mailbox वापरा, कारण abuse mail याच ठिकाणी येतो.

Box वर कार्यरत IPv6 असल्यास IPv6 ORPort जोडा आणि IPv6 exiting enable करा. IPv6 कार्यरत नसल्यास दोन्ही वगळा. Relay प्रत्यक्षात वापरू न शकणारा address जाहीर करत असल्यास तो स्वतःची reachability test पूर्ण करू शकत नाही.

ORPort   [2001:db8::1]:443
IPv6Exit 1

प्रत्येक पोर्टला काय परवानगी आहे: exit policy

exit policy म्हणजे तुमचा relay ज्या destinations शी कनेक्ट होण्यास तयार आहे त्यांची यादी. Tor ही यादी वरून खाली वाचतो आणि जुळणारा पहिला नियम लागू करतो. ReducedExitPolicy 1 वेब, mail submission, chat आणि git यांसाठीचे सुमारे seventy ports असलेली निवडक यादी लागू करते. सर्वाधिक तक्रारी निर्माण करणारे ports यात वगळलेले असतात. पहिल्या exit साठी ही योग्य सुरुवात आहे.

दोन नियमांची नावे माहीत असणे उपयुक्त ठरते. ExitPolicyRejectPrivate हा default ने enabled असतो. तो exit ला private address ranges आणि relay च्या स्वतःच्या addresses शी connect होण्यापासून थांबवतो. त्यामुळे तुमचा exit provider च्या internal network कडे निर्देशित केला जात नाही. Port 25 (SMTP, simple mail transfer protocol) reject केलेला असतो आणि तो तसाच reject राहिला पाहिजे. तो allow केल्यास relay spam source बनतो आणि काही दिवसांत तो address blocklist मध्ये जातो.

Exit उपयुक्त ठरण्यासाठी त्याने ports 80 आणि 443 allow केलेले असणे आवश्यक आहे. Tor च्या exit relay documentation मध्ये हे minimum थेट नमूद केले आहे. तुमच्या provider ला reduced policy पेक्षा अधिक कडक policy हवी असल्यास, फक्त web साठीचा exit तरीही उपयुक्त योगदान ठरतो:

ExitPolicy accept *:80
ExitPolicy accept *:443
ExitPolicy reject *:*

यादीचा शेवट reject *:* ने करा. त्यामुळे तुमची policy स्वतःच पूर्ण राहते आणि त्यानंतरचे कोणतेही नियम inherit होत नाहीत. Reduced policy मध्ये port 22 (SSH) allow असतो. Brute-force reports चा हा नेहमीचा source आहे. त्यामुळे या प्रकारचे mail हाताळायचे नसल्यास, उर्वरित नियमांपूर्वी ExitPolicy reject *:22 जोडा. 6881-6999 range मधील file-sharing ports हे copyright notices चे नेहमीचे source आहेत. Reduced policy मध्ये ते आधीपासूनच वगळलेले आहेत.

Policy मधील बदल clients पर्यंत पोहोचण्यासाठी relay ने नवीन descriptor publish करणे आणि directory ने तो propagate करणे आवश्यक असते. त्यामुळे परिणामाचे मूल्यांकन करण्यापूर्वी काही तास प्रतीक्षा करा.

ContactInfo, family keys आणि relay नोंदणी

Exit relay ची नोंदणी करणे म्हणजे अनोळखी व्यक्ती पडताळू शकेल अशा नावाशी तो जोडणे. हे करण्यासाठी दोन यंत्रणा आहेत आणि त्या एकत्र काम करतात.

पहिली यंत्रणा म्हणजे well-known file. तुमच्या नियंत्रणाखालील domain वर family identity प्रकाशित करा आणि ContactInfo मध्ये त्या पुराव्याचा संदर्भ द्या:

ContactInfo email:tor[]example.org url:https://example.org proof:uri-familyid-ed25519 ciissversion:3

ही file https://example.org/.well-known/tor-relay/ed25519-family-id.txt येथे असते आणि त्यात तुमचा family ID असतो. आता हे relay चालवण्याचा दावा करणारी व्यक्ती त्या domain वरही नियंत्रण ठेवते का, हे कोणतीही व्यक्ती पडताळू शकते. Contact address आणि verified contact address यांतील हाच फरक आहे.

दुसरी यंत्रणा म्हणजे family स्वतः. तुम्ही एकापेक्षा जास्त relay चालवत असल्यास, ती सर्व relay एकाच operator ची आहेत हे network ला माहीत असणे आवश्यक आहे. त्यामुळे client तुमच्या दोन मशीनमधून एकाच circuit ची रचना करणार नाही. Current tor हे काम family key द्वारे करते. या key ला Happy Families म्हणतात. हे 0.4.9.2-alpha किंवा त्यानंतरच्या आवृत्तीवर चालणाऱ्या relay साठी उपलब्ध आहे:

tor --keygen-family exampleFamily

यामुळे exampleFamily.secret_family_key लिहिले जाते आणि FamilyId अशी line छापली जाते. ही secret key file प्रत्येक relay च्या key directory मध्ये कॉपी करा. Debian आणि Ubuntu वर ती directory /var/lib/tor/keys आहे. Filename च्या शेवटी .secret_family_key कायम ठेवा. छापलेली FamilyId line प्रत्येक torrc मध्ये जोडा आणि tor reload करा. जोपर्यंत ही गरज संपल्याचे project जाहीर करत नाही, तोपर्यंत प्रत्येक relay fingerprint सूचीबद्ध करणारा legacy MyFamily option देखील सेट करणे आवश्यक आहे, असे Tor च्या documentation मध्ये स्पष्टपणे नमूद केले आहे. त्यामुळे दोन्ही configure करा. प्रत्येक relay चा fingerprint /var/lib/tor/fingerprint मध्ये आहे.

दुसऱ्या आणि तिसऱ्या मशीनपासून operations महत्त्वाचे ठरू लागतात. एकाच वेळी अनेक Linux servers व्यवस्थापित करणे ही समस्या इतर ठिकाणांप्रमाणे येथेही तशीच आहे. /var/lib/tor/keys ची box च्या बाहेर कुठेतरी backup copy ठेवा. ती गमावल्यास relay पुन्हा अनोळखी relay म्हणून सुरू होते आणि त्याला प्रत्येक flag तसेच त्याची संपूर्ण reputation पुन्हा शून्यापासून मिळवावी लागते.

tor-relays mailing list ला देखील subscribe करा. Operators वर परिणाम करणारे बदल सर्वप्रथम तिथे जाहीर केले जातात.

Reverse DNS आणि port 80 वरील exit notice

Relay कोणताही traffic वाहून नेण्यापूर्वी reverse DNS record सेट करा. Tor च्या exit मार्गदर्शक सूचनांनुसार, त्यातून या मशीनचा प्रकार कळला पाहिजे; उदाहरणार्थ tor-exit-01.example.org. यामागील कारण व्यावहारिक आहे. एखाद्या व्यक्तीच्या logs मध्ये अपरिचित address दिसल्यावर त्यांचा admin सर्वप्रथम reverse lookup करतो. "tor-exit" असलेले नाव कोणी तुम्हाला लिहिण्यापूर्वीच त्या प्रश्नाचे उत्तर देते. त्यामुळे संभाव्य तक्रारींपैकी काही तक्रारीत रूपांतरितच होत नाहीत. Provider ला PTR (pointer) record सेट करण्यास सांगा आणि तुमच्या बाजूला त्याच्याशी जुळणारा forward record जोडा.

त्यानंतर port 80 वर शब्दांत तीच माहिती देणारे notice page उपलब्ध करा. जुन्या मार्गदर्शकांमध्ये हे tor च्या DirPortFrontPage setting ने केले जाते. त्यासाठी DirPort आवश्यक असते. tor 0.4.6.5 पासून relays साठी DirPort deprecated आहे. त्यामुळे त्याऐवजी छोटा web server वापरा.

sudo apt install -y nginx
sudo install -d -m 755 /srv/tor-exit-notice

/srv/tor-exit-notice/index.html लिहा:

<!DOCTYPE html>
<html>
<head><title>This is a Tor exit relay</title></head>
<body>
<h1>This is a Tor exit relay</h1>
<p>Traffic from this address was sent by a user of the Tor network. It did not
come from the operator of this machine, and this machine keeps no record of
who sent it.</p>
<p>Operator: Example Org. Abuse reports: abuse@example.org. Every report gets a
reply from a person.</p>
<p>To check whether this address was a Tor exit at a given date and time:
https://metrics.torproject.org/exonerator.html</p>
</body>
</html>

हा server block /etc/nginx/sites-available/tor-exit-notice मध्ये लिहा:

server {
    listen 80 default_server;
    listen [::]:80 default_server;
    server_name _;
    root /srv/tor-exit-notice;
    index index.html;
    access_log off;
}

ते enable करा, nginx ची default site काढा आणि परिणाम तपासा:

sudo ln -sf /etc/nginx/sites-available/tor-exit-notice /etc/nginx/sites-enabled/tor-exit-notice
sudo rm -f /etc/nginx/sites-enabled/default
sudo nginx -t && sudo systemctl reload nginx
curl -s http://127.0.0.1/ | head -n 5

nginx -t ने syntax is ok आणि test is successful दाखवले, तर file चे parsing यशस्वी झाले आहे. curl ने तुमच्या notice च्या सुरुवातीच्या ओळी दाखवल्या पाहिजेत. त्याऐवजी nginx चे welcome page दिसत असेल, तर default site अद्याप enable आहे आणि तुमचा block वापरला जात नाही.

ते सुरू करा आणि log मध्ये काय लिहिले आहे ते वाचा

sudo systemctl restart tor@default
sudo journalctl -u tor@default -n 50 --no-pager

काही मिनिटांत log मध्ये इतर relay तुमच्यापर्यंत पोहोचू शकतात हे दर्शविणारी ओळ दिसली पाहिजे:

Self-testing indicates your ORPort is reachable from the outside. Excellent.

ती ओळ कधीच दिसली नाही, तर ORPort पर्यंत पोहोचता येत नाही. sudo ss -lntp | grep 443 वापरून tor ऐकत आहे का ते तपासा. त्यानंतर nc -vz your.address.here 443 वापरून दुसऱ्या मशीनवरून port तपासा. VPS च्या समोरील firewall हे याचे नेहमीचे कारण असते. हा firewall तुमचा असू शकतो किंवा provider च्या control panel मधील असू शकतो.

रीबूटनंतर सेवा पुन्हा सुरू होते का ते systemctl is-enabled tor वापरून तपासा. त्यातून enabled छापले गेले पाहिजे.

Relay सुरू झाल्यानंतर सुमारे तीन तासांनी Relay Search वर तुम्ही निवडलेल्या nickname अंतर्गत दिसतो. त्यानंतर अनेक दिवसांत network traffic वाढतो. कारण clients तुमच्या relay ला अधिक weight देण्यापूर्वी network च्या bandwidth measurement प्रणालीला त्याचे निरीक्षण करावे लागते. पहिल्या दिवशी जवळजवळ कोणताही traffic नसलेला नवीन exit relay असणे सामान्य आहे.

अशा तक्रारी हाताळण्याची कार्यपद्धती आणि प्राप्त होणाऱ्या ईमेलचा नमुना

पहिली तक्रार येण्यापूर्वीच कार्यपद्धती तयार करा, कारण पहिली तक्रार सहसा पहिल्याच आठवड्यात येते. यापैकी बहुतांश ईमेल मशीनद्वारे तयार केलेले असतात. Tor च्या exit guidelines नुसार एकूण तक्रारींपैकी सुमारे 80% तक्रारी automated reports असतात. उर्वरित बहुतेक प्रकरणे standard reply ने निकाली निघतात.

प्रत्यक्षात पुढील प्रकारचे ईमेल येतात. एखाद्याच्या intrusion detection system ने तयार केलेला scanning किंवा brute-force report, ज्यामध्ये तुमचा पत्ता आणि timestamp दिलेला असतो. तुमच्या policy नुसार file-sharing ports ला परवानगी असल्यास copyright notice येऊ शकते. एखाद्या site owner कडून forum किंवा comment spam बाबत तक्रार येऊ शकते. क्वचित preservation request किंवा law enforcement कडून subpoena येऊ शकतो. हे वेगळ्या प्रकारचे प्रकरण आहे. अशा वेळी template वापरण्याऐवजी वकिलाचा सल्ला घ्या.

उत्तर लहान असते आणि जवळजवळ प्रत्येक वेळी तेच असते:

Hello,

Thank you for the report. The address 203.0.113.10 is a Tor exit relay,
operated by <your name> at <your organisation>. The connection you saw was
made by a user of the Tor network. It did not originate on this machine.

This relay keeps no record of which user made which connection, so I cannot
identify the sender and there are no logs for me to hand over.

You can confirm that this address was a Tor exit at the date and time in
question here: https://metrics.torproject.org/exonerator.html

If you would prefer to stop Tor traffic reaching your service, the current
list of exit addresses is published here:
https://check.torproject.org/torbulkexitlist

I read this mailbox personally and will answer any follow-up.

<your name>

ही पद्धत प्रभावी होण्यासाठी चार सवयी ठेवा. ContactInfo मधील पत्त्यावरून, स्वतःच्या नावाने स्वाक्षरी करून, एका कामकाजाच्या दिवसात उत्तर द्या. वापरकर्ता ओळखून देण्याचे आश्वासन कधीही देऊ नका, कारण तुम्ही तसे करू शकत नाही. अन्यथा ते आश्वासन नंतर मोडावे लागेल. प्रत्येक उत्तर एकाच folder मध्ये ठेवा, त्यामुळे त्याच incident बाबत दुसरा ईमेल आल्यास त्याला तेच उत्तर देता येईल. provider ने suspension warning जोडून तक्रार forward केली असल्यास, reporter ला उत्तर देण्यापूर्वी provider ला उत्तर द्या.

या उत्तरांमध्ये दोन links सर्वाधिक उपयुक्त ठरतात. ExoneraTor investigator च्या प्रत्यक्ष प्रश्नाचे उत्तर देते: त्या क्षणी हा address Tor exit होता का. bulk exit list ही सध्याच्या exit addresses ची साधी यादी आहे. प्रत्येक address स्वतंत्र ओळीत असतो. Tor block करण्याचा निर्णय घेतलेल्या व्यक्तींना अंदाजाऐवजी अचूकपणे block करता यावे, यासाठी ही यादी उपयुक्त आहे.

Bandwidth, खर्च आणि दुसरा relay

Exits प्रत्यक्ष network traffic पुढे पाठवतात. सर्व्हर ऑर्डर करण्यापूर्वी मासिक कमाल मर्यादा ठरवा. allowance संपल्यानंतर provider शुल्क कसे आकारतो हे विचारा. कारण प्रत्यक्षात VPS ची किंमत किती असते हे बहुतेक वेळा दर्शविलेल्या किमतीपेक्षा transfer allowance वर अवलंबून असते. तुमच्या बाजूची ही मर्यादा Tor लागू करू शकतो:

AccountingMax 4 TBytes
AccountingStart month 1 00:00
RelayBandwidthRate 20 MBytes
RelayBandwidthBurst 25 MBytes

AccountingMax accounting period मध्ये ठरावीक volume इतका traffic पाठवल्यानंतर tor hibernate करतो आणि पुढील period सुरू झाल्यावर पुन्हा सुरू होतो. या संख्येवर विश्वास ठेवण्यापूर्वी पहिल्या महिन्याची नोंद provider च्या स्वतःच्या counter शी तपासा. दोन्ही ठिकाणी समान bytes मोजले जातीलच असे नाही. RelayBandwidthRate sustained rate वर मर्यादा घालतो. त्यामुळे uplink वापरण्यायोग्य राहतो आणि provider कडूनही समस्या निर्माण होत नाही.

दुसरा exit जोडताना तो पहिल्या exit च्या त्याच rack मध्ये न ठेवता वेगळ्या network वर ठेवा. Diversity हा exit च्या योगदानाचा महत्त्वाचा भाग आहे. एकाच ठिकाणी असलेली दोन machines एकत्र बंद पडू शकतात. दोन्ही exits ना एकाच family मध्ये जोडा. दोन्हींसाठी समान verified contact प्रकाशित करा आणि दोन्हीकडून येणाऱ्या mail ला उत्तर द्या. ज्याच्याशी कोणी संपर्क साधू शकत नाही असा exit anonymous problem मानला जातो. ज्याचा operator त्याच दिवशी उत्तर देतो असा exit एखाद्या व्यक्तीमागे असलेला server मानला जातो. कारण तो प्रत्यक्षात तसाच असतो.

FAQ

मी माझ्याकडे आधीपासून असलेल्या VPS वर Tor exit node चालवू शकतो का?

नाही. या बाबतीत कठोर नियम पाळा. Exit node साठी असे dedicated address आवश्यक असते, ज्यावर दुसरी कोणतीही सेवा चालू नसते. तसेच provider ने exit traffic वाहून नेण्यास आणि abuse mail कोणताही बदल न करता तुम्हाला forward करण्यास आधीच सहमती दिलेली असावी. आमच्या VPS सह सामान्य उद्देशाच्या VPS वर ते address आधीपासून दुसरे काम करत असते आणि सामान्य सेवा चालवणाऱ्या ग्राहकांसोबत समान network neighbourhood मध्ये असते. तुमच्याकडे असलेल्या machine वर non-exit relay किंवा obfs4 bridge चालवा. हे relay आणि bridge खरोखर उपयुक्त असतात, त्यांच्याबद्दल जवळजवळ कोणत्याही तक्रारी येत नाहीत आणि त्यासाठी तुम्ही आधीच पैसे देत असलेला box पुरेसा असतो.

Tor exit relay वर किती abuse mail येते आणि ती कोणाला मिळते?

हे तुमच्या exit policy वर अवलंबून असते. ReducedExitPolicy 1 मध्ये port 25 नाकारलेला असेल आणि file-sharing ports वगळलेले असतील, तर येणाऱ्या बहुतेक संदेशांमध्ये automated scanning आणि brute-force reports असतात. Tor च्या exit guidelines नुसार automated reports एकूण प्रमाणाच्या साधारण 80% असतात. Provider च्या abuse desk कडून ज्याला mail forward केली जाते, त्या व्यक्तीला ती मिळते. म्हणून ordering करण्यापूर्वी provider ती mail reporter चा address जसाच्या तसा ठेवून तुम्हाला forward करतो का, हे विचारा. तोच address ContactInfo मध्ये आणि port 80 वरील notice page वर प्रकाशित करा आणि एका working day मध्ये उत्तर द्या.

माझे खरे नाव आणि email address प्रकाशित करणे आवश्यक आहे का?

होय. ContactInfo public relay directory मध्ये प्रकाशित केले जाते आणि कोणीही ते download करू शकतो. Reverse DNS name machine काय आहे हे जाहीर करते आणि port 80 वरील notice page वरही तेच पुन्हा दिलेले असते. ही transparency रचनेचा भाग आहे; तो अनपेक्षित परिणाम नाही. कार्यरत contact नसलेल्या exit कडे anonymous nuisance म्हणून पाहिले जाते. काही clients कोणताही contact प्रकाशित न करणारे exits वगळतात. तुम्ही नियंत्रित करत असलेल्या domain वर proof:uri-familyid-ed25519 आणि /.well-known/tor-relay/ed25519-family-id.txt file जोडा. त्यामुळे contact केवळ नमूद केलेला न राहता पडताळता येण्याजोगा होतो.

माझा नवीन exit relay जवळजवळ कोणताही traffic का वाहत नाही?

सर्वप्रथम journalctl -u tor@default मध्ये Self-testing indicates your ORPort is reachable from the outside. Excellent. आहे का ते तपासा. Reachability test अयशस्वी झालेला relay कधीही प्रकाशित केला जात नाही आणि तो कोणताही traffic वाहत नाही. ती line असल्यास, कारण सामान्यतः वेळ असतो. Startup नंतर सुमारे तीन तासांनी relay Relay Search मध्ये दिसतो. Network च्या bandwidth measurement ने त्याचे निरीक्षण केल्यानंतरच clients त्याला अर्थपूर्ण traffic पाठवतात. यासाठी काही दिवस लागतात. तुमच्या relay ला exit म्हणून मान्यता मिळण्यासाठी ports 80 आणि 443 ला परवानगी देणारी policy देखील आवश्यक आहे.