1. Aktiviere automatische Software Updates
Eines der wichtigsten Dinge, um dein Relay sicher zu halten, ist die rechtzeitige und idealerweise automatische Installation von Sicherheitsupdates, damit du es nicht vergessen kannst.
Folge den Anweisungen, um automatische Software-Updates für dein Betriebssystem zu aktivieren.
2. Tor Project's Repository konfigurieren
Die Konfiguration des Repository des Tor Project für Fedora besteht im Wesentlichen darin, /etc/yum.repos.d/Tor.repo mit dem folgenden Inhalt einzurichten:
[tor]
name=Tor for Fedora $releasever - $basearch
baseurl=https://rpm.torproject.org/fedora/$releasever/$basearch
enabled=1
gpgcheck=1
gpgkey=https://rpm.torproject.org/fedora/public_gpg.key
cost=100
Weitere Informationen dazu findest du hier.
3. Installiere tor
Sobald du das Tor Repository eingerichtet hast, kannst du das Paket installieren:
# dnf install tor
4. Installiere obfs4proxy
Wir entscheiden uns obfs4 als austauschbare Übertragungsart zu nutzen, also installieren wir obfs4proxy.
Im Gegensatz zu anderen Linux-Distributionen bietet Fedora ein Binärpaket, das wir nutzen können. Es ist verfügbar ab Fedora 33.
Das Paket heißt obfs4 und das ist alles, was du tun musst, um es zu installieren:
# dnf install obfs4
Wenn du mehr über die Installation von obfs4proxy wissen willst oder es aus dem Quellcode bauen möchtest sieh dir die offizielle Dokumentation an.
5. Bearbeite deine Tor-Konfigurations-Datei, die sich normalerweise unter /etc/tor/torrc befindet, und ersetze ihren Inhalt durch:
RunAsDaemon 1
BridgeRelay 1
# Ersetze "TODO1" durch einen Tor Port deiner Wahl. Dieser Port muss von außen
# erreichbar sein. Vermeide Port 9001, weil er üblicherweise mit Tor in Verbindung gebracht wird, und
# Zensoren suchen möglicherweise das Internet nach diesem Port ab.
ORPort TODO1
ServerTransportPlugin obfs4 exec /usr/bin/obfs4proxy
# Ersetze "TODO2" durch einen obfs4 Port deiner Wahl. Dieser Port muss
# von außen erreichbar sein und muss sich von dem für ORPort angegebenen unterscheiden.
# Vermeide Anschluss 9001, weil er häufig in Verbindung gebracht wird mit
# Tor, und Zensoren suchen möglicherweise das Internet nach diesem Port ab.
ServerTransportListenAddr obfs4 0.0.0.0:TODO2
# Lokaler Kommunikations-Port zwischen Tor und obfs4. Stelle dies immer auf "auto" ein.
# "Ext" bedeutet "erweitert", nicht "extern". Versuche weder eine bestimmte Port-Nummer
# einzustellen, noch auf 0.0.0.0 zu hören.
ExtORPort auto
# Ersetze "<address@email.com>" mit deiner E-Mail-Adresse, damit wir dich kontaktieren können, wenn
# es Probleme mit deiner Brücke gibt Dies ist freiwillig, wird aber empfohlen.
ContactInfo <address@email.com>
# Wähle einen Spitznamen für deine Brücke. Dies ist optional.
Nickname PickANickname
Vergiß nicht, die Optionen ORPort, ServerTransportListenAddr, ContactInfo und Spitzname zu ändern.
- Beachte, dass sowohl der OR-Anschluss von Tor als auch der obfs4-Anschluss erreichbar sein müssen. Wenn sich deine Brücke hinter einer Firewall oder NAT befindet, stelle sicher, dass beide Ports geöffnet sind. Du kannst unseren Erreichbarkeitstest benutzen, um zu sehen, ob dein obfs4-Port aus dem Internet erreichbar ist.
6. SeLinux deaktivieren
Prüfe, ob SeLinux auf "Erzwingen" eingestellt ist:
# getenforce
Wenn "Erzwingen" eingestellt bist, ändere den Status in "Zulassen":
# setenforce 0
Um die Änderungen dauerhaft zu machen:
# nano /etc/selinux/config
Und ändere SELINUX=enforcing zu SELINUX=permissive.
7. Ports in der Fedora-Firewall öffnen
Für die obfs4 und ORPort, die du in der torrc-Datei ausgewählt hast:
# firewall-cmd --add-port XXX/tcp --permanent
Nachdem du das für beide Ports gemacht hast, führe aus:
# firewall-cmd --reload
(Optional) Konfiguriere systemd so, dass obfs4-Bindungen an privilegierten Ports erlaubt sind
Wenn du dich entscheidest, einen festen obfs4-Port zu verwenden, der kleiner als 1024 ist (zum Beispiel 80 oder 443), musst du systemd konfigurieren und obfs4 CAP_NET_BIND_SERVICE-Fähigkeiten geben, um den Port mit einem Nicht-Root-Benutzer zu verbinden:
# setcap cap_net_bind_service=+ep /usr/bin/obfs4proxy
8. Tor neustarten
# systemctl enable --now tor
9. Überwache deine Protokolle
Um zu bestätigen, dass deine Brücke ohne Probleme läuft, solltest du so etwas wie das hier sehen (normalerweise in /var/log/tor/log oder /var/log/syslog):
[notice] Your Tor server's identity key fingerprint is '<NICKNAME> <FINGERPRINT>'
[notice] Your Tor bridge's hashed identity key fingerprint is '<NICKNAME> <HASHED FINGERPRINT>'
[notice] Registered server transport 'obfs4' at '[::]:46396'
[notice] Tor has successfully opened a circuit. Looks like client functionality is working.
[notice] Bootstrapped 100%: Done
[notice] Now checking whether ORPort <redacted>:3818 is reachable... (this may take up to 20 minutes -- look for log messages indicating success)
[notice] Self-testing indicates your ORPort is reachable from the outside. Excellent. Publishing server descriptor.
10. Abschließende Anmerkungen
Wenn du Probleme beim Einrichten deiner Brücke hast, schau dir unsere Hilfe-Sektion an.
Wenn deine Brücke jetzt läuft, sieh dir die Nachinstallations-Hinweise an.