۱. مطمئن شوید که درگاه‌های رله دسترس‌پذیر هستند
اگر درحال استفاده از دیوار آتش هستید، یک سوراخ در دیوار آتش باز کنید تا اتصالات ورودی بتوانند به درگاه‌هایی دسترسی یابند که کاربر برای رلهٔ شما (ORPort) استفاده می‌کند.
همچنین، مطمئن شوید که به همهٔ اتصال‌های خروجی نیز اجازه می‌هید، به این شکل رلهٔ Tor شما می‌تواند به دیگر رله‌های Tor، سرویس‌گیرنده‌ها و مقصد‌ها دسترسی داشته باشد.
You can find the specific ORPort TCP port number in the Setup page (in the OS specific sections).
۲. تأیید کنید که رلهٔ شما کار می‌کند
اگر فایل رویدادنگار شما (syslog) حاوی ورودی زیر پس از شروع daemon Tor شما است، رلهٔ شما باید همان‌طور که انتظار می‌رود درحال کار و اجرا باشد:
Self-testing indicates your ORPort is reachable from the outside. Excellent.
Publishing server descriptor.
حدود ۳ ساعت پس از شروع رلهٔ شما، باید جستجوی رله در درگاه Metrics (معیارها) ظاهر شود.
می‌توانید رلهٔ خود را از طریق نام مستعار یا نشانی IP جستجو کنید.
۳. دربارهٔ چرخهٔ عمر رلهٔ Tor بخوانید
مدتی طول می‌کشد تا ترافیک رله افزایش یابد، این امر به‌ویژه در مورد رله‌های نگهبان بیشتر صدق می‌کند، اما به میزان کمتری برای رله‌های خروج نیز صادق است. برای درک این فرایند، در مورد چرخهٔ عمر یک رلهٔ جدید مطالعه کنید.
۴. مدیریت پیکربندی
اگر قصد دارید بیش از یک رله اجرا کنید، یا که می‌خواهید یک رله با ظرفیت بالا (چند نمونهٔ Tor به ازاء هر سرور) اجرا کنید، یا می‌خواهید از ویژگی‌های امنیتی قوی مانند Offline Master Keys بدون انجام گام‌های اضافی به‌صورت دستی استفاده کنید، ممکن است بخواهید برای نگهداری بهتر از مدیریت پیکربندی استفاده کنید.
چندین راه‌حل مدیریت پیکربندی برای سیستم‌عامل‌های مبتنی بر Unix (Ansible، Puppet، Salt، ...) وجود دارد.
Ansible Role زیر به‌طور خاص برای اپراتورهای رلهٔ Tor ساخته شده است و از چندین سیستم‌عامل پشتیبانی می‌کند: Ansible Relayor.
۵. مهم: اگر بیشتر از یک نمونه Tor اجرا می‌کنید
برای جلوگیری از در معرض خطر قراردادن سرویس‌گیرنده‌های Tor، هنگام کار با رله‌های چندگانه باید یک مقدار MyFamily مناسب تنظیم کنید و یک ContactInfo معتبر در پیکربندی torrc خود داشته باشید.
تنظیم MyFamily به سرویس‌گیرنده‌های Tor می‌گوید کدامین رله‌های Tor توسط یک نهاد/اپراتور/سازمانی کنترل می‌شوند، تا آنکه در چندین موقعیت در یک مدار واحد مورد استفاده قرار نگیرند.
اگر دو رله اجرا می‌کنید و اثر انگشت آنها AAAAAAAAAA و BBBBBBBB است، باید پیکربندی زیر را برای تنظیم MyFamily:
MyFamily AAAAAAAAAA,BBBBBBBB
به هر دو رله اضافه کنید. برای یافتن اثر انگشت رلهٔ خود، می‌توانید هنگام راه‌اندازی Tor به فایل‌های رویدادنگار نگاه انداخته یا فایلی به نام «fingerprint» را در DataDirectory Tor خود پیدا کنید.
بجای اینکه به‌صورت دستی انجام دهید، توصیه می‌کنیم برای اپراتورهای بزرگ، تنظیمات MyFamily را از طریق یک راه حل مدیریت پیکربندی به‌صورت خودکار در آورند.
مدیریت دستی MyFamily برای گروه‌های بزرگ رلهٔ مستعد خطاست و ممکن است سرویس‌گیرنده‌های Tor را در معرض خطر قرار دهد.
۶. اختیاری: محدود‌کردن استفاده پهنای باند (و ترافیک)
Tor استفاده از پهنای باند را به‌صورت پیش‌فرض محدود نخواهد کرد، ولی از چندین روش برای محدود‌کردن پهنای باند مورد استفاده و میزان ترافیک پشتیبانی می‌کند.
اگر می‌خواهید مطمئن شوید که رلهٔ Tor شما از یک میزان پهنای باند یا ترافیک کل مشخص در هر روز/هفته/ماه عبور نمی‌کند، این به کار می‌آید.
گزینه‌های پیکربندی torrc آمده در ادامه می‌تواند برای محدود‌کردن پهنای باند و ترافیک مورد استفاده قرار بگیرد:
- AccountingMax
- AccountingRule
- AccountingStart
- BandwidthRate
- BandwidthBurst
- RelayBandwidthRate
داشتن یک رلهٔ پر سرعت برای بعضی مواقع در ماه نسبت به یک رلهٔ کند در کل ماه ارجخیت دارد.
همچنین مدخل مرتبط با پهنای باند را در پرسش‌های متداول مشاهده کنید.
۷. بررسی در دسترس‌بودن IPv6
ما همه را تشویق می‌کنیم IPv6 را روی رله‌های خود به‌کار اندازند. این برای رله‌های نگهبان و خروج به‌شدت ارزشمند است.
پیش از به‌کار انداختن daemon Tor خود برای استفاده از IPv6، به‌علاوهٔ IPv4 باید برخی از آزمون‌های پایهٔ اتصال‌دهندگی IPv6 را انجام دهید.
خط فرمان آمده در زیر نشانی‌های IPv6 مراجع شاخهٔ Tor از سرور شما را پینگ خواهد کرد:
ping6 -c2 2001:858:2:2:aabb:0:563b:1526 && ping6 -c2 2620:13:4000:6000::1000:118 && ping6 -c2 2001:67c:289c::9 && ping6 -c2 2001:678:558:1000::244 && ping6 -c2 2001:638:a000:4140::ffff:189 && echo OK.
در انتهای خروجی باید عبارت «OK» را ببینید. اگر این‌طور نیست، پیش‌از اینکه IPv6 کار کند، IPv6 را در فایل پیکربندی torrc خود به‌کار نیندازید.
اگر IPv6 را بدون اتصال‌دهندگی آماده‌به‌کار IPv6، به‌کار اندازید، کل رلهٔ شما بدون در نظر گرفتن اینکه آیا IPv4 کار می‌کند یا خیر، بلااستفاده خواهد ماند.
اگر درست کار کرد، مطمئن شوید که رلهٔ شما از طریق IPv6 دسترس‌پذیر است، این کار با اضافه‌کردن یک سطر اضافی ORPort به پیکربندی خود قابل انجام است (مثال برای ORPort 9001):
ORPort [IPv6-address]:9001
محل آن سطر در فایل پیکربندی اهمیتی ندارد.
به سادگی می‌توانید آن را در کنار اولین سطرهای ORPort در فایل torrc خود اضافه کنید.
توجه: باید به‌طور صریح نشانی IPv6 خود را داخل قلاب (کروشه) ذکر کنید، نمی‌توانید به Tor بگویید تا به هر IPv6 مقید شود (مانند آنچه برای IPv4 انجام می‌دهید).
اگر یک نشانی IPv6 سراسری دارید، باید قادر باشید تا آن را در خروجی فرمان زیر پیدا کنید:
ip -6 addr | grep global | sed 's/inet6//;s#/.*##'
اگر یک رلهٔ خروج با اتصال‌دهندگی IPv6 هستید، از طریق daemon Tor خروج، IPv6 را مجاز کنید تا سرویس‌گیرنده‌ها بتوانند به مقصدهای IPv6 دسترسی یابند:
IPv6Exit 1
توجه: Tor به اتصال‌دهندگی IPv4 نیاز دارد، شما نمی‌توانید رلهٔ Tor را فقط روی IPv6 اجرا کنید.
۸. نگهداری یک رله
پشتیبان‌گیری از کلیدهای هویت Tor
بعد از نصب اولیه و شروع daemon Tor، ایدهٔ خوبی است تا از کلیدهای هویت بلندمدت خودتان رلهٔ Tor پشتیبان بگیرید.
در زیرپوشهٔ «کلیدها» (keys) در DataDirectory شما (یک کپی از کل پوشه بگیرید و در یک جای امن ذخیره کنید) قرار گرفته است.
از آن‌جایی که رله‌ها سیر زمانی پلکانی دارند، منطقی است که از کلید هویت یک نسخهٔ پشتیبان تهیه کرده تا بتوانید اعتبار رلهٔ خود را پس از خرابی دیسک بازیابی کنید - در غیر این صورت باید دوباره دورهٔ سیر پلکانی را طی کنید.
فقط در صورتی این کار را انجام دهید که مکان بسیار امنی برای کلیدهای خود داشته باشید، که اگر دزدیده شوند، این کلیدها از نظر تئوری می‌توانند رمزگشایی یا جعل هویت ترافیک (عبوری) را مجاز کنند.
موقعیت پیش‌فرض پوشهٔ کلیدها:
- Debian/Ubuntu:
/var/lib/tor/keys
- FreeBSD:
/var/db/tor/keys
- OpenBSD:
/var/tor/keys
- Fedora:
/var/lib/tor/keys
اشتراک در فهرست پست‌سپاری اعلان-tor
این یک فهرست پست‌سپاری با ترافیک بسیار پایین است و شما اطلاعاتی دربارهٔ انتشارهای جدید پایدار Tor و اطلاعات به‌روزرسانی امنیتی مهمی را دریافت می‌کنید: اعلان-Tor.
تنظیم اعلان‌های قطعی
هنگامی که رلهٔ خود را تنظیم کردید، به احتمال زیاد بدون نیاز به کار دیگری از سمت شما اجرا خواهد شد.
اگر خطایی رخ داد خوب است تا به‌صورت خودکار باخبر شوید.
توصیه می‌کنیم از یکی از خدمات رایگانی استفاده کنید که به شما این امکان را بدهد تا ORPportهای رلهٔ خود را از نظر دسترس‌پذیری بررسی کنید که اگر به هر دلیلی غیرقابل دسترس شدند، ایمیلی برای شما ارسال شود.
ربات زمان به‌کار یکی از این خدمات است که به شما اجازه می‌دهد تا بر شنوندگان پروتکل هدایت انتقال (TCP) درگاه‌های قراردادی را پایش کنید.
این خدمات می‌تواند درگاه‌های پیکربندی‌شدهٔ شما را هر ۵ دقیقه یکبار بررسی کند تا اگر پردازش Tor شما از بین رفت یا از دسترس خارج شد به شما یک ایمیل ارسال کند.
این تنها برای شنونده بررسی می‌شود اما با پروتکل Tor صحبت نمی‌کند.
یک روش خوب برای پایش یک رله برای وضعیت سلامتی آن، نگاه انداختن به نمودار‌های پهنای باند آن است.
پایش سلامت سیستم
برای اطمینان از سلامت رلهٔ خود و در هم نشکستن، داشتن یک سامانهٔ پایش مقدماتی برای بررسی این معیارها ایده خوبی است:
- پهنای باند
- اتصال‌های TCP برقرار شده
- حافظه
- Swap
- CPU
ابزارهای زیادی برای پایش این‌گونه داده‌ها وجود دارند. یکی از آنها munin است که نصب آن نسبتاً ساده است.
توجه: نمودار‌های دادهٔ (مختص) پایش خصوصی خود را عمومی نکنید چراکه این می‌تواند منجر به از بین‌بردن ناشناس‌سازی کاربران Tor شود.
چند توصیهٔ عملی:
- اگر می‌خواهید آمار ترافیک خود را منشتر کنید، باید تمام ترافیک رلهٔ خود را دست‌کم در یک هفته گذشته جمع‌آوری کرده، و سپس آن را به نزدیک‌ترین ۱۰ ترابایت گرد کنید.
- گزارش‌دادن رله‌های منفرد بدتر از گزارش‌دادن جمعی برای گروه‌هایی از رله‌ها است. در آینده، Tor به‌صورت امن تمام آمارهای پهنای باند را جمع‌آوری خواهد کرد تا گزارش‌دادن پهنای باند هر رلهٔ منفرد امنیت کمتری از آمارهای Tor خواهد داشت.
- دوره‌های کوچک‌تر بدتر هستند.
- اعداد بدتر از نمودار هستند.
- دادهٔ بی‌درنگ بدتر از دادهٔ تاریخی است.
- دادهٔ در دسته‌بندی‌ها (نسخهٔ IP، ورود/خروج، غیره.) بدتر از کل داده است.
ابزار
این بخش چندین ابزار را که ممکن است برای شما به‌عنوان اپراتور رلهٔ Tor به کار بیاید را فهرست کرده‌ایم.
Nyx یک ابزار پروژهٔ Tor (سابقاً arm) است که به شما اجازه می‌دهد دادهٔ رلهٔ خود را بی‌درنگ مشاهده کنید.
vnstat: vnstat یک ابزار خط فرمان است که میزان دادهٔ عبوری از اتصال شبکهٔ شما را نشان می‌دهد.
می‌توانید از آن برای ایجاد‌کردن تصاویر PNG برای نمایش نمودار‌های ترافیک استفاده کنید. مستندات vnstat و خروجی نسخهٔ نمایشی.