Tor-pohjainen hallintapolku VPS:ällesi
Käytä SOCKS-välityspalvelinta SSH-palveluun, julkaise yksityinen onion-päätepiste ja tarkista DNS, todennus ja palautus ennen julkisen pääsyn sulkemista.
Yhdellä silmäyksellä
Tor voi muuttaa verkkopolkua, jota käytetään VPS:n tavoittamiseen, ja SSH onion-päätepiste voi välttää tavanomaisen julkisen hallintakohteen. Kumpikaan lähestymistapa ei suojaa palvelinta automaattisesti. Suojaa SSH-avaimet, varmista isännän identiteetti, rajoita pääsyä ja testaa kokoonpano ennen siihen luottamista.
Suojaa hallinta sekä kassa
Palvelimen tilaaminen suojatun selaimen kautta ei automaattisesti suojaa myöhempää SSH-istuntoa. Suora kirjautuminen voi paljastaa lähdeosoitteesi palvelimelle ja polun varrella oleville verkoille. Päätä, miten hallinta toimii ennen ensimmäistä yhteyttä, mukaan lukien hätäpääsy, jos ensisijainen reitti epäonnistuu.
Tor voi piilottaa asiakkaan suoran IP-osoitteen kohteelta, mutta se ei ole ratkaisu uudelleenkäytettyihin tunnistetietoihin, tunnistaviin kokoonpanotietoihin tai kaikkiin liikenteen korrelointihyökkäyksiin. Se myös lisää viivettä. Hyödyllinen tavoite on johdonmukainen hallintapolku, jonka käyttäytymisen ymmärrät ja voit tarkistaa.
Aloita toimivasta paikallisesta Tor-asiakasohjelmasta
Järjestelmän Tor-taustaprosessi tarjoaa yleensä SOCKSin 127.0.0.1:9050-portissa, kun taas Tor Browser käyttää yleensä 9150. Tarkista todellinen kokoonpanosi sen sijaan, että oletat kumman tahansa portin. Sovelluksen on lähetettävä yhteytensä kyseisen välityspalvelimen kautta; Tor Browser ei reititä jokaista tietokoneen ohjelmaa.
Tuetuissa järjestelmissä torsocks käärii sovelluksia kuten SSH ja reitittää tuetut verkkokutsut Tor-kautta. Testaa asetelma korvaamalla vain dokumentaatiota varten tarkoitettu esimerkkiosoite palvelimesi todellisella osoitteella. Seuraava komento olettaa käynnissä olevan järjestelmän Tor-taustaprosessin ja erillisen hallintatilin.
torsocks ssh -i ~/.ssh/silentvps_ed25519 [email protected]Tee reitistä osa SSH-kokoonpanoa
Säännöllisessä käytössä isäntäkohtainen kokoonpano vähentää riskiä unohtaa kääre. Alla oleva esimerkki käyttää netcat-toteutusta, jossa on SOCKS5-välityspalvelintuki. Toteutukset eroavat toisistaan, joten varmista -x- ja -X-valinnat asennetusta versiostasi ja tarkista, onko isäntänimen selvitys etänä.
IdentitiesOnly rajoittaa palvelimelle tarjottavia avaimia; yhdistä se tätä projektia varten käytettävään tuoreeseen avaimeen. Tarkista ja säilytä palvelimen isäntäavaimen sormenjälki luotetun käyttöönottokanavan kautta. Tor muuttaa verkkopolkua, mutta SSH-isäntätodennus on edelleen välttämätön.
Host silent-admin
HostName 203.0.113.45
User admin
IdentityFile ~/.ssh/silentvps_ed25519
IdentitiesOnly yes
ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %pSiirrä SSH onion-palvelun taakse
Onion-päätepiste mahdollistaa hallinnan ilman julkisesti tavoitettavissa olevaa SSH-porttia ja välttää Tor-poistumisen käyttämisen tähän yhteyteen. Asenna ja määritä Tor palvelimelle ja yhdistä sitten onion-virtuaaliportti paikalliseen SSH-palveluun. Esimerkki on aloituskokoonpano; palvelupolut ja komennot vaihtelevat jakelun mukaan.
Kun Tor on luonut palveluhakemiston, hae sen isäntänimetiedosto yksityisesti ja testaa yhteys asiakasvälityspalvelimesi kautta. Pidä onion-palvelun identiteettiavaimet yksityisinä. Vasta onnistuneen itsenäisen kirjautumisen jälkeen sinun tulisi rajoittaa SSH paikalliseen isäntään ja poistaa julkinen pääsy. Varmista, että palautuskonsolisi toimii ennen tämän muutoksen tekemistä.
HiddenServiceDir /var/lib/tor/silent-admin/
HiddenServicePort 22 127.0.0.1:22Lisää asiakasvaltuutus yksityiselle päätepisteelle
Ilman lisävaltuutusta kuka tahansa onion-osoitteen oppiva voi tavoittaa palvelun ja sen SSH-kehotteen. Tor v3 -asiakasvaltuutus lisää erillisen salausportin: palvelulla on valtuutetun asiakkaan julkinen avain ja asiakkaalla vastaava yksityinen avain.
Noudata Tor-projektin ajantasaisia ohjeita avainmuodoista ja authorized_clients-hakemistosta. Varmista, että valtuuttamaton asiakas ei voi muodostaa yhteyttä. Pidä myös SSH-avaintodennus käytössä ja suunnittele, miten peruutat kadonneen laitteen valtuutuksen menettämättä omaa jäljellä olevaa pääsyäsi.
Testaa DNS ja vältä identiteetin vuotaminen
Paikallisen resolverin tekemä isäntänimen selvitys voi paljastaa kohteesi ennen kuin yhteys saavuttaa välityspalvelimen. Palvelimen IP:n käyttäminen clearnet-kohdetta varten välttää kyseisen selvityksen; onion-nimet edellyttävät selvitystä Tor sisällä. Muiden isäntänimien osalta varmista sovelluksen etä-DNS-käyttäytyminen sen sijaan, että luottaisit yleiseen välityspalvelinasetukseen.
Vierasjärjestelmä voi yhä säilyttää todennuksen aikaleimoja, käyttäjänimiä ja lokimerkintöjä. Tarkastele niiden säilytystä tarkoituksellisesti sen sijaan, että poistaisit käytöstä kaiken diagnostiikan sokkona. Tarkasta myös paikalliset isäntänimet, commit-metatiedot ja kopioidut asetukset tunnistetietojen varalta. Tor ei poista niitä sovellusliikenteestä.
- Käytä erillistä avainta ja eristettyä projektityönkulkua.
- Varmista odotettu SOCKS-portti ja etä-DNS-käyttäytyminen.
- Pidä palautumispääsy ja toinen testattu kirjautuminen tallessa ennen kuuntelijoiden muuttamista.
- Tarkastele Tor- ja SSH-palvelua päivitysten jälkeen.
- Älä koskaan jaa onion-identiteettiavaimia tai asiakasvaltuutuksen salaisuuksia.
Pidä pitkät istunnot ja tuleva ylläpito käytännöllisinä
Aja pitkät ylläpitotyöt tmuxin tai screenin sisällä, jotta yhteyden katkeaminen ei tuhoa istuntoa. Tor-piirit ja verkkoolosuhteet voivat muuttua, joten pidä komennot toistettavina ja ymmärrä, miten niitä jatketaan. Pieni lisäviive on helpompi sietää, kun ylläpito on suunniteltua.
Sama onion-malli voi toimia paikallisen hallintapaneelin tai yksityisen Git-palvelun edessä. Jokainen sovellus tarvitsee silti todennuksen, ohjelmistopäivitykset ja huolellisen määrityksen. Jatka suojatun reitin käyttämistä tuen, uudistamisen ja varmuuskopioiden osalta silloin, kun yksityisyysvaatimuksesi sitä edellyttävät; johdonmukaisuus on yhtä tärkeää kuin alkuasetus.