Jak uruchomić węzeł wyjściowy Tor: poradnik operatora

Czym jest węzeł wyjściowy Tor i kim staje się jego operator

Węzeł wyjściowy Tor to ostatni przekaźnik w obwodzie: maszyna, która otwiera połączenie z miejscem docelowym, dzięki czemu docelowy serwer rejestruje adres Twojego serwera, a nie użytkownika. Każda inna decyzja w tym przewodniku wynika z tego jednego faktu. Adres ten jest traktowany jako źródło wszystkiego, co przez niego przechodzi, dlatego musi to być adres, który nie służy do żadnych innych celów, u dostawcy, który wyraził zgodę na obsługę takiego ruchu.

Uruchomienie węzła wyjściowego to przeciwieństwo ukrywania się. Przekaźnik znajduje się w publicznym katalogu, który każdy może pobrać. Twój adres kontaktowy znajduje się w tym katalogu pod ContactInfo, nazwa reverse DNS (domain name system) informuje, czym jest ta maszyna, port 80 serwuje stronę z taką samą informacją, a na wiadomości o nadużyciach odpowiadasz samodzielnie, pod własnym nazwiskiem. Nikt w tym systemie nie jest bardziej możliwy do zidentyfikowania niż operator węzła wyjściowego. Na tym polega ta praca i dlatego ona działa.

My uruchamiamy takie węzły. SSD Nodes obsługuje przekaźniki wyjściowe w kilku krajach jako swój wkład w wolność słowa. Wynajmujemy te maszyny od dostawców, którzy świadomie zgodzili się na obsługę ruchu wyjściowego, i nie jesteśmy dla nich dostawcą usług. Jest to celowe działanie, a kolejna sekcja wyjaśnia dlaczego.

Gdzie miejsce dla węzła wyjściowego, a gdzie go nie ma

Węzeł wyjściowy nie powinien działać na serwerze VPS (virtual private server) ogólnego przeznaczenia, w tym również na naszych. Sieć ogólnego przeznaczenia obsługuje strony WWW, pocztę, kopie zapasowe oraz panele sterowania dla tysięcy niepowiązanych klientów korzystających z sąsiednich adresów IP. Ruch wyjściowy sprawia, że jeden z tych adresów trafia do raportów skanowania oraz czarnych list spamu, a skutki tego odczuwają sąsiedzi. Dostawcy, którzy poprawnie obsługują węzły wyjściowe, są do tego przygotowani: posiadają wydzieloną przestrzeń adresową oraz dział nadużyć (abuse desk), który posiada wiedzę na temat działania Tor.

Dlatego autorzy tego przewodnika zalecają zakup maszyny u innego dostawcy. To najbardziej użyteczna rada. Wiemy, jaki wpływ ma ruch wyjściowy na adres IP, ponieważ płacimy innym podmiotom za jego obsługę. Płacimy im, ponieważ poprawne prowadzenie takiego ruchu to inna działalność niż sprzedaż serwerów ogólnego przeznaczenia.

The Tor Project wypowiada się w tej kwestii jeszcze bardziej bezpośrednio. Strona typy przekaźników wskazuje, że przekaźniki wyjściowe „wiążą się z największym ryzykiem prawnym i odpowiedzialnością spośród wszystkich przekaźników” oraz że „nie należy uruchamiać przekaźnika wyjściowego Tor w domu”. VPS ogólnego przeznaczenia, na którym przechowujesz własne projekty, jest bliższy „domu”, niż się wydaje. To maszyna, na której Ci zależy, z adresem, który chcesz utrzymać w czystości.

Jeśli posiadasz zwykły VPS i chcesz w tym tygodniu wesprzeć sieć, uruchom na nim przekaźnik niebędący węzłem wyjściowym lub mostek (bridge). Nie jest to nagroda pocieszenia. To inne zadanie o innym profilu ryzyka, a sieć potrzebuje obu tych rozwiązań. Przekaźnik niebędący węzłem wyjściowym nigdy nie nawiązuje połączenia z miejscem docelowym, więc praktycznie nie generuje skarg. Wytyczne Tor zalecają przepustowość co najmniej 2 MByte/s (megabajty na sekundę) w każdym kierunku, aby przekaźnik był uwzględniany na listach. Mostek to niepubliczny punkt wejścia dla użytkowników w sieciach cenzurowanych. Wymaga łączności 24/7 oraz jednego otwartego portu TCP (transmission control protocol), co czyni go najbardziej wartościowym zadaniem dla małego serwera. Oba te rozwiązania pasują do sprzętu, który już posiadasz. Węzeł wyjściowy – nie.

Jak znaleźć dostawcę przyjaznego dla węzłów wyjściowych?

Zapytaj przed złożeniem zamówienia, najlepiej w formie pisemnej, i zachowaj odpowiedź. Wytyczne dla węzłów wyjściowych projektu Tor sugerują dwuetapowe podejście: najpierw zapytaj, czy dostawca w ogóle akceptuje działanie węzła wyjściowego Tor, a następnie, czy przydzieli dla niego dedykowany adres lub podsieć. Pytanie o obie kwestie jednocześnie często skutkuje odruchową odmową.

Cztery pytania pozwolą ustalić, czy dostawca jest faktycznie przygotowany na taką współpracę.

• Czy przydzielą Państwo dedykowany adres IP, który nie będzie hostował żadnych innych usług, oraz czy ustawią Państwo wskazany przeze mnie rekord reverse DNS?
• Kto otrzymuje zgłoszenia o nadużyciach (abuse) i czy będą one przekazywane do mnie w niezmienionej formie, z zachowaniem adresu nadawcy, abym mógł odpowiedzieć bezpośrednio?
• Co dzieje się po otrzymaniu pierwszej skargi: czy jest ona przekazywana do mnie, czy najpierw blokowany jest ruch (null-route) dla danego adresu, a dopiero potem następuje wyjaśnienie?
• Ile węzłów wyjściowych działa już w tej sieci? Wytyczne projektu Tor są w tej kwestii jednoznaczne: „nie pomaga nam koncentrowanie zbyt wielu węzłów wyjściowych u jednego przyjaznego dostawcy ISP”.

To ostatnie pytanie jest ważniejsze, niż mogłoby się wydawać. Część wartości węzła wyjściowego wynika z jego lokalizacji w sieci. Kolejny węzeł w sieci, w której działa już pięćdziesiąt innych, wnosi mniejszą wartość niż maszyna uruchomiona w nowym miejscu. Relay Search pozwala sprawdzić, które sieci obsługują już węzły wyjściowe, co warto zweryfikować przed podjęciem decyzji.

Uzyskaj odpowiedzi przed dokonaniem płatności i zakup maszynę na oddzielnym koncie, zamiast dodawać ją do konta, na którym znajdują się inne serwery. Bezpieczeństwo hostingu VPS zależy głównie od tego, jakie zasoby sąsiadują ze sobą, a jest to najbardziej wyrazisty przykład tej zasady.

Jeden adres, jedno zadanie

Adres wyjściowy nie może obsługiwać żadnych innych usług. Żadnych stron WWW, poczty, VPN, paneli monitoringu ani osobistego hosta przesiadkowego SSH (secure shell). Adres ten trafi na czarne listy, a każda inna usługa działająca pod tym adresem zacznie wykazywać błędy, których diagnoza jest utrudniona. Adres dedykowany do jednego celu pozwala również na krótką odpowiedź na skargi: ten adres jest przekaźnikiem wyjściowym i niczym więcej.

Przed uruchomieniem tor wykonaj standardowe prace konfiguracyjne. Wymagaj logowania przez klucze SSH z wyłączonym logowaniem hasłem oraz skonfiguruj zaporę sieciową, która zezwala tylko na publikowane porty. Hardening SSH on a VPS opisuje pierwszą część, a ufw firewall basics drugą. Przekaźnik wyjściowy publikuje dla świata dokładnie dwa porty: ORPort, który przesyła ruch Tor, oraz port 80 dla strony z informacją o przekaźniku wyjściowym. Wszystkie pozostałe porty pozostają zamknięte.

Włącz unattended-upgrades, ponieważ przekaźnik wyjściowy działający na starej wersji tor stanowi problem dla każdego użytkownika, którego ruch jest przez niego kierowany.

sudo apt update && sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

Nie dodawaj logowania ruchu. Przechwytywanie czystego tekstu opuszczającego przekaźnik wyjściowy jest technicznie łatwe i jest to jedyna rzecz, której operator nigdy nie może robić. EFF Tor legal FAQ zaleca operatorom, aby tego nie robili, ponieważ prawo dotyczące podsłuchów w Stanach Zjednoczonych oraz analogiczne przepisy w innych krajach mogą stworzyć odpowiedzialność prawną za analizę takiego ruchu. Pozostaw domyślny poziom logowania notice w tor i nie zmieniaj go.

Instalacja Tor z repozytorium Tor Project

Pakiety dystrybucyjne są przestarzałe. Należy korzystać z repozytorium Tor Project, aby poprawki bezpieczeństwa były dostępne w dniu ich wydania. Według stanu na sierpień 2026, bieżącą stabilną serią jest 0.4.9.

sudo apt update
sudo apt install -y apt-transport-https gnupg wget
lsb_release -cs

Utwórz plik /etc/apt/sources.list.d/tor.sources, zastępując noble nazwą kodową, którą wyświetliło polecenie lsb_release -cs:

Types: deb deb-src
URIs: https://deb.torproject.org/torproject.org/
Suites: noble
Components: main
Signed-By: /usr/share/keyrings/deb.torproject.org-keyring.gpg

Dodaj klucz podpisu, a następnie zainstaluj pakiet:

wget -qO- https://deb.torproject.org/torproject.org/A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89.asc | gpg --dearmor | sudo tee /usr/share/keyrings/deb.torproject.org-keyring.gpg >/dev/null
sudo apt update
sudo apt install -y tor deb.torproject.org-keyring
tor --version

Pakiet deb.torproject.org-keyring automatycznie aktualizuje ten klucz, dzięki czemu repozytorium nie przestanie działać w momencie jego zmiany. Jeśli apt update zgłasza dwukrotną konfigurację tego samego repozytorium, oznacza to, że zdefiniowano je zarówno w pliku .list, jak i .sources, a artykuł błąd duplikatu źródła deb822 wyjaśnia, jak rozwiązać ten problem.

DNS: węzeł wyjściowy rozwiązuje nazwy dla wszystkich korzystających z niego użytkowników

Węzeł wyjściowy wykonuje wyszukiwanie nazw dla każdego obwodu, który przez niego przechodzi, więc jego resolver widzi strumień nazw należących do innych osób. Skierowanie tego ruchu do dużego publicznego resolvera oznacza przekazanie całego strumienia jednej firmie, co prowadzi do centralizacji, której operatorzy węzłów wyjściowych Tor powinni unikać. Zamiast tego należy uruchomić na serwerze własny, weryfikujący i buforujący resolver.

sudo apt install -y unbound bind9-dnsutils
sudo cp /etc/resolv.conf /etc/resolv.conf.backup
echo "nameserver 127.0.0.1" | sudo tee /etc/resolv.conf
sudo chattr +i /etc/resolv.conf
sudo systemctl enable --now unbound

chattr +i oznacza plik jako niezmienny, ponieważ klienci DHCP (dynamic host configuration protocol) oraz resolvconf nadpisują /etc/resolv.conf według własnego harmonogramu. Bez tego restart może przywrócić wyszukiwanie nazw do resolvera dostawcy, a użytkownik nie otrzyma żadnego ostrzeżenia o takiej zmianie. Instrukcje Tor dla systemów Debian i Ubuntu włączają również minimalizację zapytań (query name minimisation), która wysyła do każdego serwera nazw tylko tę część nazwy, której faktycznie potrzebuje:

server:
    qname-minimisation: yes

Umieść to w pliku wewnątrz /etc/unbound/unbound.conf.d/, a następnie potwierdź, że resolver odpowiada:

sudo systemctl restart unbound
dig +short example.com @127.0.0.1

Adres w odpowiedzi oznacza, że unbound działa poprawnie. Jeśli unbound nie uruchamia się z powodu address already in use, oznacza to, że inny proces zajmuje port 53: uruchom sudo ss -lntup | grep :53 i sprawdź, co go blokuje. W systemie Ubuntu usługa systemd-resolved nasłuchuje na 127.0.0.53, więc nie koliduje z unbound działającym na 127.0.0.1.

Plik torrc dla przekaźnika wyjściowego

Pakiet Debian odczytuje /etc/tor/torrc. Jest to kompletna konfiguracja istotna dla przekaźnika wyjściowego.

Nickname     exampleExit01
ORPort       443
ExitRelay    1
SocksPort    0
ContactInfo  email:tor[]example.org abuse:abuse[]example.org url:https://example.org ciissversion:3
ReducedExitPolicy 1
Log          notice syslog

Każda linia w tym pliku jest kluczowa, dlatego należy analizować je pojedynczo.

ORPort 443 to port, przez który inne przekaźniki łączą się z Twoim węzłem. Port 443 pozwala na komunikację przez restrykcyjne sieci blokujące nietypowe porty, dzięki czemu przekaźnik jest dostępny dla większej liczby użytkowników niż w przypadku standardowego portu 9001. Możesz zadeklarować port 443 tylko wtedy, gdy żadna inna usługa na tym serwerze go nie zajmuje, co stanowi kolejny argument za dedykowanym adresem IP.

SocksPort 0 wyłącza lokalny serwer proxy SOCKS. Przekaźnik go nie wymaga, a port SOCKS nasłuchujący na publicznym adresie IP stanowi otwarte proxy, które zostanie wykryte i wykorzystane do nadużyć w ciągu kilku godzin.

ExitRelay 1 to przełącznik aktywujący funkcję przekaźnika wyjściowego. Należy ustawić go jawnie zamiast polegać na wartości domyślnej, aby plik konfiguracyjny jasno określał rolę maszyny.

ContactInfo jest publikowane w publicznym katalogu, aby każdy mógł je odczytać. Należy zapisać je w formacie ContactInfo Information Sharing Specification, który jest analizowany przez narzędzia sieciowe, oraz zawrzeć w nim ciissversion:3. Użycie [] zamiast @ jest konwencją przyjętą w tej specyfikacji w celu utrudnienia pracy skryptom zbierającym adresy e-mail. Należy użyć skrzynki pocztowej sprawdzanej codziennie, ponieważ to na nią będą trafiać zgłoszenia o nadużyciach.

Jeśli serwer posiada działającą obsługę IPv6, należy dodać IPv6 ORPort i włączyć ruch wyjściowy IPv6. Jeśli nie, należy pominąć obie te opcje, ponieważ przekaźnik reklamujący adres, którego faktycznie nie może użyć, nie przejdzie własnego testu dostępności.

ORPort   [2001:db8::1]:443
IPv6Exit 1

Polityka wyjścia: co dopuszcza dany port

Polityka wyjścia to lista miejsc docelowych, z którymi przekaźnik może nawiązać połączenie. Tor odczytuje ją od góry do dołu, a pierwsza pasująca reguła jest wiążąca. ReducedExitPolicy 1 wybiera wyselekcjonowaną listę około siedemdziesięciu portów obejmujących WWW, wysyłkę poczty, czaty i git, pomijając porty generujące najwięcej skarg. Jest to właściwy punkt wyjścia dla pierwszego przekaźnika wyjściowego.

Warto znać z nazwy dwie reguły. ExitPolicyRejectPrivate jest domyślnie włączona i blokuje przekaźnikowi wyjściowemu łączenie się z prywatnymi zakresami adresów oraz z własnymi adresami przekaźnika, co zapobiega kierowaniu ruchu na wewnętrzną sieć dostawcy. Port 25 (SMTP, simple mail transfer protocol) jest odrzucany i powinien taki pozostać, ponieważ zezwolenie na niego zamienia przekaźnik w źródło spamu, a adres zostaje umieszczony na czarnych listach w ciągu kilku dni.

Aby przekaźnik wyjściowy był użyteczny, musi obsługiwać porty 80 oraz 443. Dokumentacja exit relay projektu Tor określa to minimum wprost. Jeśli dostawca wymaga bardziej restrykcyjnych zasad niż polityka ograniczona, przekaźnik obsługujący tylko ruch WWW nadal stanowi realny wkład:

ExitPolicy accept *:80
ExitPolicy accept *:443
ExitPolicy reject *:*

Listę należy zakończyć wpisem reject *:*, aby polityka była kompletna i nie dziedziczyła żadnych dodatkowych reguł. Ograniczona polityka zezwala na port 22 (SSH), który jest częstym źródłem zgłoszeń o atakach typu brute-force, dlatego warto dodać ExitPolicy reject *:22 powyżej reszty, jeśli użytkownik woli nie otrzymywać tego typu powiadomień. Porty wymiany plików z zakresu 6881-6999 są typowym źródłem zawiadomień o naruszeniu praw autorskich, a ograniczona polityka już je wyklucza.

Zmiana polityki staje się widoczna dla klientów dopiero po opublikowaniu przez przekaźnik nowego deskryptora i jego rozpowszechnieniu przez katalog, dlatego przed oceną efektów należy odczekać kilka godzin.

Dane kontaktowe, klucze rodziny i rejestracja przekaźnika

Rejestracja przekaźnika wyjściowego oznacza powiązanie go z nazwą, którą może zweryfikować osoba trzecia. Służą do tego dwa mechanizmy, które działają wspólnie.

Pierwszym z nich jest powszechnie znany plik. Opublikuj swoją tożsamość rodzinną w domenie, którą zarządzasz, a następnie wskaż ten dowód w ContactInfo:

ContactInfo email:tor[]example.org url:https://example.org proof:uri-familyid-ed25519 ciissversion:3

Plik znajduje się w https://example.org/.well-known/tor-relay/ed25519-family-id.txt i zawiera identyfikator rodziny. Każdy może teraz potwierdzić, że podmiot deklarujący te przekaźniki kontroluje również daną domenę. Na tym polega różnica między adresem kontaktowym a zweryfikowanym.

Drugim mechanizmem jest sama rodzina. Jeśli uruchamiasz więcej niż jeden przekaźnik, sieć musi wiedzieć, że mają tego samego operatora, aby klient nigdy nie budował obwodu przez dwie Twoje maszyny. Obecne oprogramowanie tor realizuje to za pomocą klucza rodziny, zwanego Happy Families, na przekaźnikach działających w wersji 0.4.9.2-alpha lub nowszej:

tor --keygen-family exampleFamily

Polecenie to zapisuje exampleFamily.secret_family_key i wyświetla linię FamilyId. Skopiuj plik tajnego klucza do katalogu kluczy każdego przekaźnika (/var/lib/tor/keys w systemach Debian i Ubuntu), zachowaj rozszerzenie .secret_family_key w nazwie pliku, dodaj wyświetloną linię FamilyId do każdego pliku torrc i przeładuj tor. Dokumentacja tor wyraźnie wskazuje, że nadal należy ustawiać starszą opcję MyFamily, wymieniając odcisk palca (fingerprint) każdego przekaźnika, dopóki projekt nie ogłosi, że nie jest to już wymagane, więc skonfiguruj obie opcje. Odcisk palca każdego przekaźnika znajduje się w /var/lib/tor/fingerprint.

W przypadku drugiej i trzeciej maszyny operacje zaczynają mieć znaczenie, a zarządzanie wieloma serwerami Linux jednocześnie stanowi tu taki sam problem, jak wszędzie indziej. Wykonaj kopię zapasową /var/lib/tor/keys poza serwerem. Utrata tego pliku sprawi, że przekaźnik powróci jako nieznany węzeł, co wymusi ponowne zdobywanie każdej flagi i całej reputacji od zera.

Zasubskrybuj również listę mailingową tor-relays. Zmiany wpływające na operatorów są tam ogłaszane w pierwszej kolejności.

Reverse DNS oraz powiadomienie wyjściowe na porcie 80

Ustaw rekord reverse DNS, zanim przekaźnik zacznie obsługiwać jakikolwiek ruch. Wytyczne Tor dotyczące węzłów wyjściowych zalecają, aby nazwa wskazywała na przeznaczenie serwera, zgodnie ze wzorcem tor-exit-01.example.org. Powód jest praktyczny. Gdy w logach administratora pojawia się nieznany adres, pierwszą czynnością jest sprawdzenie rekordu PTR. Nazwa zawierająca "tor-exit" wyjaśnia sytuację, zanim ktokolwiek wyśle zapytanie, co pozwala uniknąć części potencjalnych skarg. Poproś dostawcę o ustawienie rekordu PTR (pointer) i dodaj pasujący rekord typu A po swojej stronie.

Następnie udostępnij na porcie 80 stronę informacyjną, która wyjaśnia to samo w formie tekstowej. Starsze poradniki sugerują użycie ustawienia DirPortFrontPage w Torze, które wymaga DirPort. Opcja DirPort jest przestarzała dla przekaźników od wersji tor 0.4.6.5, dlatego należy użyć lekkiego serwera WWW.

sudo apt install -y nginx
sudo install -d -m 755 /srv/tor-exit-notice

Utwórz /srv/tor-exit-notice/index.html:

<!DOCTYPE html>
<html>
<head><title>This is a Tor exit relay</title></head>
<body>
<h1>This is a Tor exit relay</h1>
<p>Traffic from this address was sent by a user of the Tor network. It did not
come from the operator of this machine, and this machine keeps no record of
who sent it.</p>
<p>Operator: Example Org. Abuse reports: abuse@example.org. Every report gets a
reply from a person.</p>
<p>To check whether this address was a Tor exit at a given date and time:
https://metrics.torproject.org/exonerator.html</p>
</body>
</html>

Zapisz poniższy blok serwera w /etc/nginx/sites-available/tor-exit-notice:

server {
    listen 80 default_server;
    listen [::]:80 default_server;
    server_name _;
    root /srv/tor-exit-notice;
    index index.html;
    access_log off;
}

Włącz konfigurację, usuń domyślną stronę nginx i sprawdź poprawność:

sudo ln -sf /etc/nginx/sites-available/tor-exit-notice /etc/nginx/sites-enabled/tor-exit-notice
sudo rm -f /etc/nginx/sites-enabled/default
sudo nginx -t && sudo systemctl reload nginx
curl -s http://127.0.0.1/ | head -n 5

nginx -t zwracające syntax is ok oraz test is successful oznacza, że składnia pliku jest poprawna. Polecenie curl powinno wyświetlić pierwsze linie powiadomienia. Jeśli wyświetla stronę powitalną nginx, oznacza to, że domyślna witryna jest nadal aktywna i Twój blok nie jest używany.

Uruchomienie i analiza dziennika

sudo systemctl restart tor@default
sudo journalctl -u tor@default -n 50 --no-pager

W ciągu kilku minut w dzienniku powinna pojawić się informacja o tym, że inne przekaźniki mogą nawiązać połączenie:

Self-testing indicates your ORPort is reachable from the outside. Excellent.

Jeśli ten komunikat się nie pojawia, ORPort jest niedostępny. Należy potwierdzić, że tor nasłuchuje za pomocą sudo ss -lntp | grep 443, a następnie przetestować port z innej maszyny za pomocą nc -vz your.address.here 443. Najczęstszą przyczyną jest zapora sieciowa przed serwerem VPS, skonfigurowana samodzielnie lub w panelu sterowania dostawcy.

Należy sprawdzić, czy usługa uruchamia się automatycznie po restarcie systemu za pomocą systemctl is-enabled tor, co powinno zwrócić enabled.

Przekaźnik pojawi się w wyszukiwarce Relay Search około trzy godziny po uruchomieniu, pod wybraną nazwą (nickname). Ruch sieciowy będzie wzrastał w ciągu kilku kolejnych dni, ponieważ mechanizm pomiaru przepustowości sieci musi najpierw zarejestrować przekaźnik, zanim klienci zaczną go częściej wybierać. Brak znaczącego ruchu na nowym przekaźniku wyjściowym pierwszego dnia jest zjawiskiem normalnym.

Plan reagowania na nadużycia i wygląd wiadomości e-mail

Plan reagowania należy przygotować przed wpłynięciem pierwszej skargi, ponieważ zazwyczaj pojawia się ona w pierwszym tygodniu działania. Większość tych wiadomości jest generowana automatycznie. Zgodnie z wytycznymi dla węzłów wyjściowych Tor, raporty automatyczne stanowią około 80% wszystkich zgłoszeń, a standardowa odpowiedź pozwala zamknąć większość pozostałych spraw.

Oto co zazwyczaj trafia do skrzynki odbiorczej. Raport o skanowaniu lub ataku typu brute-force wygenerowany przez system wykrywania włamań, zawierający adres IP oraz znacznik czasu. Zawiadomienie o naruszeniu praw autorskich, jeśli polityka serwera zezwala na korzystanie z portów do wymiany plików. Skarga dotycząca spamu na forum lub w komentarzach od właściciela witryny. Czasami zdarza się wniosek o zabezpieczenie danych lub wezwanie od organów ścigania – jest to inna kategoria spraw, w której należy skontaktować się z prawnikiem, zamiast korzystać z gotowego szablonu.

Odpowiedź jest krótka i w niemal każdym przypadku wygląda tak samo:

Hello,

Thank you for the report. The address 203.0.113.10 is a Tor exit relay,
operated by <your name> at <your organisation>. The connection you saw was
made by a user of the Tor network. It did not originate on this machine.

This relay keeps no record of which user made which connection, so I cannot
identify the sender and there are no logs for me to hand over.

You can confirm that this address was a Tor exit at the date and time in
question here: https://metrics.torproject.org/exonerator.html

If you would prefer to stop Tor traffic reaching your service, the current
list of exit addresses is published here:
https://check.torproject.org/torbulkexitlist

I read this mailbox personally and will answer any follow-up.

<your name>

Skuteczność tego podejścia opiera się na czterech nawykach. Odpowiadaj w ciągu jednego dnia roboczego, używając adresu z ContactInfo i podpisując się własnym imieniem. Nigdy nie oferuj identyfikacji użytkownika, ponieważ nie jest to możliwe, a operator, który sugeruje coś innego, będzie musiał później wycofać się z tej obietnicy. Przechowuj wszystkie odpowiedzi w jednym folderze, aby na drugą wiadomość dotyczącą tego samego incydentu wysłać taką samą odpowiedź. Jeśli dostawca przesyła skargę wraz z ostrzeżeniem o zawieszeniu usług, najpierw odpowiedz dostawcy, a następnie zgłaszającemu.

Większość ciężaru w tych odpowiedziach spoczywa na dwóch linkach. ExoneraTor odpowiada na pytanie, które faktycznie zadaje osoba prowadząca dochodzenie: czy dany adres był w tym momencie węzłem wyjściowym sieci Tor. Bulk exit list to prosta lista aktualnych adresów wyjściowych, po jednym w wierszu, przeznaczona dla każdego, kto zdecydował się blokować Tor i woli robić to precyzyjnie, zamiast zgadywać.

Przepustowość, koszty i drugi przekaźnik

Węzły wyjściowe (exit relays) generują rzeczywisty ruch sieciowy. Przed zamówieniem usługi należy ustalić miesięczny limit transferu i zapytać dostawcę o sposób rozliczania po jego przekroczeniu, ponieważ rzeczywisty koszt VPS zależy głównie od limitu transferu, a nie od ceny katalogowej. Tor pozwala na wymuszenie tych ograniczeń po stronie serwera:

AccountingMax 4 TBytes
AccountingStart month 1 00:00
RelayBandwidthRate 20 MBytes
RelayBandwidthBurst 25 MBytes

Opcja AccountingMax powoduje, że Tor przechodzi w stan hibernacji po przesłaniu określonej ilości danych w danym okresie rozliczeniowym, a następnie wznawia pracę na początku kolejnego okresu. Przed pełnym zaufaniem do statystyk warto porównać dane z pierwszego miesiąca z licznikiem dostawcy, ponieważ metody zliczania bajtów mogą się różnić. Parametr RelayBandwidthRate ogranicza stałą przepustowość, co pozwala zachować użyteczność łącza i zapobiega negatywnym reakcjom dostawcy.

W przypadku dodawania drugiego węzła wyjściowego należy umieścić go w innej sieci, a nie w tej samej szafie rack co pierwszy. Różnorodność jest kluczowym wkładem węzła wyjściowego, a dwie maszyny w tej samej lokalizacji ulegają awarii jednocześnie. Należy powiązać je w jedną rodzinę (family), opublikować ten sam zweryfikowany kontakt dla obu i odpowiadać na wiadomości dotyczące obu serwerów. Węzeł wyjściowy, z którym nie ma kontaktu, jest traktowany jako anonimowy problem. Węzeł, którego operator odpowiada tego samego dnia, jest traktowany jako serwer zarządzany przez konkretną osobę, co jest stanem faktycznym.

FAQ

Czy mogę uruchomić węzeł wyjściowy Tor na posiadanym już VPS?

Nie, i jest to kwestia, w której należy zachować rygor. Węzeł wyjściowy wymaga dedykowanego adresu, który nie obsługuje żadnych innych usług, u dostawcy, który z wyprzedzeniem wyraził zgodę na obsługę ruchu wyjściowego i przekazywanie wiadomości o nadużyciach (abuse mail) bez edycji. Na uniwersalnym serwerze VPS, w tym na naszych, dany adres wykonuje już inne zadania i współdzieli otoczenie z klientami uruchamiającymi standardowe usługi. Na posiadanej maszynie należy uruchomić przekaźnik typu non-exit lub mostek obfs4. Są one użyteczne, generują niemal zerową liczbę skarg i nie wymagają niczego poza serwerem, za który już płacisz.

Ile wiadomości o nadużyciach otrzymuje przekaźnik wyjściowy Tor i kto je odbiera?

Zależy to od przyjętej polityki wyjściowej (exit policy). Przy zastosowaniu ReducedExitPolicy 1, odrzuceniu portu 25 oraz wykluczeniu portów służących do wymiany plików, większość przychodzących zgłoszeń to raporty o zautomatyzowanym skanowaniu i atakach brute-force. Wytyczne Tor dotyczące węzłów wyjściowych wskazują, że zautomatyzowane raporty stanowią około 80% całości. Poczta trafia do adresata, któremu dział abuse dostawcy przekazuje zgłoszenia, dlatego przed zamówieniem usługi należy zapytać, czy wiadomości są przesyłane dalej wraz z nienaruszonym adresem zgłaszającego. Ten sam adres należy opublikować w ContactInfo oraz na stronie informacyjnej pod portem 80 i odpowiadać na zgłoszenia w ciągu jednego dnia roboczego.

Czy muszę publikować swoje prawdziwe imię, nazwisko i adres e-mail?

Tak. ContactInfo jest publikowany w publicznym katalogu przekaźników i każdy może go pobrać, nazwa reverse DNS informuje, czym jest dana maszyna, a strona informacyjna na porcie 80 powtarza te dane. Ta przejrzystość jest założeniem projektowym, a nie skutkiem ubocznym. Węzeł wyjściowy bez działającego kontaktu jest traktowany jako anonimowe źródło problemów, a niektórzy klienci wykluczają węzły, które nie publikują żadnych danych kontaktowych. Dodaj proof:uri-familyid-ed25519 oraz plik /.well-known/tor-relay/ed25519-family-id.txt w domenie, którą kontrolujesz, aby dane kontaktowe były weryfikowalne, a nie tylko deklaratywne.

Dlaczego mój nowy przekaźnik wyjściowy obsługuje znikomy ruch?

Najpierw sprawdź, czy journalctl -u tor@default zawiera Self-testing indicates your ORPort is reachable from the outside. Excellent., ponieważ przekaźnik, który nie przejdzie testu dostępności, nigdy nie zostanie opublikowany i nie będzie obsługiwał żadnego ruchu. Jeśli ten wpis istnieje, przyczyną jest zazwyczaj czas. Przekaźnik pojawia się w Relay Search około trzy godziny po uruchomieniu, a klienci kierują do niego znaczący ruch dopiero po tym, jak pomiary przepustowości sieci go uwzględnią, co trwa kilka dni. Polityka zezwalająca na porty 80 i 443 jest również wymagana, aby przekaźnik był w ogóle traktowany jako węzeł wyjściowy.