Як я можу заблокувати весь трафік * крім * Tor?

У системі Linux чи існує спосіб блокувати весь вхідний та вихідний трафік, якщо він не проходить через мережу Tor. Сюди входить будь-яка форма IP-зв’язку, а не лише TCP-з'єднання. Наприклад, я хочу повністю заблокувати UDP, оскільки він не може пройти через Tor. Я хочу, щоб це використання Інтернет в Інтернеті було повністю анонімним, і я не хочу, щоб додатки протікали.

Я усвідомлюю, що це може бути складним, оскільки самому Tor потрібно якось спілкуватися з ретрансляційними вузлами.

linux iptables tor

— Девід
джерело

Я ось-ось збирався задати подібне запитання :)

— amyassin

Для тих, хто голосує з близькими голосами, я хотів би нагадати вам, що для Tor є дійсні випадки використання бізнесу .

— Майкл Хемптон

Досить просто з iptables. Він може мати правила, які відповідають конкретним користувачам, і ви вже повинні були налаштувати torзапуск під власним ідентифікатором користувача; пакети deb і rpm, що надаються основними дистрибутивами Linux і Tor Project, вже створили користувача для Tor.

Далі йде повний зразок, корисні iptables та конфігурації Tor. Цей брандмауер можна завантажити iptables-restoreкомандою. Кінцевий результат цієї конфігурації буде прозоро маршрутизувати весь трафік, що походить від хоста або пересилається через, до Tor, не потребуючи налаштування проксі. Ця конфігурація повинна бути герметичною; хоча ви, звичайно, повинні це ретельно перевірити.

Зауважте, що uid для користувача tor (тут, 998) зберігається в числовій формі за допомогою iptables. Замініть правильний uid для вашого користувача tor у кожному місці, яке відображається тут.

Зауважимо також, що IP-адресу хоста потрібно вказати в першому правилі для підтримки вхідного трафіку чистої мережі та локальної мережі, адресованого безпосередньо хосту (тут показано як 198.51.100.212). Якщо у вас кілька IP-адрес, повторіть правило для кожної адреси.

*nat
:PREROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -d 198.51.100.212/32 -j RETURN
-A PREROUTING -p udp -m udp --dport 53 -j REDIRECT --to-ports 53
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j REDIRECT --to-ports 49151
-A OUTPUT -o lo -j RETURN
-A OUTPUT -m owner --uid-owner 998 -j RETURN
-A OUTPUT -p udp -m udp --dport 53 -j REDIRECT --to-ports 53
-A OUTPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j REDIRECT --to-ports 49151
COMMIT
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m tcp -d 127.0.0.1 --dport 22 -j ACCEPT
-A INPUT -j LOG --log-prefix "IPv4 REJECT INPUT: "
-A FORWARD -j LOG --log-prefix "IPv4 REJECT FORWARD: "
-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -d 127.0.0.1/32 -p udp -m udp --dport 53 -j ACCEPT
-A OUTPUT -d 127.0.0.1/32 -p tcp -m tcp --dport 49151 -j ACCEPT
-A OUTPUT -m owner --uid-owner 998 -m conntrack --ctstate NEW -j ACCEPT
-A OUTPUT -j LOG --log-prefix "IPv4 REJECT OUTPUT: "
COMMIT

Правило ssh INPUT дозволяє підключення, лише якщо вони надходять через локальний хост, тобто приховану службу Tor. Якщо ви також хочете дозволити вхідні ssh-з'єднання через clearnet, видаліть -d 127.0.0.1.

Відповідний torrcфайл:

User toranon
SOCKSPort 9050
DNSPort 53
TransPort 49151
AutomapHostsOnResolve 1

Ця конфігурація вимагає, щоб хост мав статичну IP-адресу. Для випадків очікуваного використання, ймовірно, ви вже планували мати статичну IP-адресу.

І нарешті, вихід!

[root@unknown ~]# curl ifconfig.me
31.31.73.71
[root@unknown ~]# host 31.31.73.71
71.73.31.31.in-addr.arpa domain name pointer cronix.sk.
[root@unknown ~]# curl ifconfig.me
178.20.55.16
[root@unknown ~]# host 178.20.55.16
16.55.20.178.in-addr.arpa domain name pointer marcuse-1.nos-oignons.net.

— Майкл Хемптон
джерело