Jalur manajemen berbasis Tor untuk VPS Anda

01Lindungi administrasi serta checkout

Memesan server melalui browser yang dilindungi tidak secara otomatis melindungi sesi SSH nanti. Login langsung dapat mengungkapkan alamat sumber Anda ke server dan jaringan di sepanjang jalur. Putuskan bagaimana administrasi akan bekerja sebelum koneksi pertama, termasuk akses darurat jika rute yang disukai gagal.

Tor dapat menyembunyikan IP langsung klien dari tujuan, tetapi bukan solusi untuk kredensial yang digunakan ulang, data konfigurasi yang mengidentifikasi atau setiap serangan korelasi lalu lintas. Ini juga menambah latensi. Tujuan yang berguna adalah jalur manajemen yang konsisten yang perilakunya Anda pahami dan dapat diperiksa.

02Mulai dengan klien Tor lokal yang berfungsi

Daemon Tor sistem biasanya menawarkan SOCKS di 127.0.0.1:9050, sedangkan Tor Browser biasanya menggunakan 9150. Verifikasi konfigurasi aktual Anda alih-alih mengasumsikan salah satu port. Aplikasi harus mengirimkan koneksinya melalui proksi tersebut; membuka Tor Browser tidak merutekan setiap program di komputer.

Pada sistem yang didukung, torsocks membungkus aplikasi seperti SSH dan merutekan panggilan jaringan yang didukung melalui Tor. Uji pengaturan dengan alamat contoh khusus dokumentasi yang diganti dengan alamat server Anda yang sebenarnya. Perintah berikut mengasumsikan daemon Tor sistem yang berjalan dan akun administratif khusus.

torsocks ssh -i ~/.ssh/silentvps_ed25519 [email protected]

03Jadikan rute sebagai bagian dari konfigurasi SSH

Untuk penggunaan rutin, konfigurasi per-host mengurangi kemungkinan lupa wrapper. Contoh di bawah ini menggunakan implementasi netcat dengan dukungan proksi SOCKS5. Implementasi berbeda, jadi konfirmasi opsi -x dan -X di versi yang Anda pasang dan verifikasi apakah resolusi hostname dilakukan dari jarak jauh.

IdentitiesOnly membatasi kunci yang ditawarkan ke server; pasangkan dengan kunci baru yang digunakan untuk proyek ini. Periksa dan simpan fingerprint host-key server melalui saluran penyediaan yang tepercaya. Tor mengubah jalur jaringan, tetapi autentikasi host SSH tetap penting.

Host silent-admin
    HostName 203.0.113.45
    User admin
    IdentityFile ~/.ssh/silentvps_ed25519
    IdentitiesOnly yes
    ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %p

04Pindahkan SSH ke belakang layanan onion

Endpoint onion memungkinkan administrasi tanpa port SSH yang dapat dijangkau publik dan menghindari penggunaan exit Tor untuk koneksi ini. Pasang dan konfigurasikan Tor di server, lalu petakan port virtual onion ke layanan SSH lokal. Contoh ini adalah konfigurasi awal; jalur layanan dan perintah bervariasi menurut distribusi.

Setelah Tor membuat direktori layanan, ambil file hostname-nya secara privat dan uji koneksi melalui proksi klien Anda. Jaga kerahasiaan kunci identitas layanan onion. Hanya setelah login independen yang berhasil, Anda harus membatasi SSH ke localhost dan menghapus akses publik. Verifikasi bahwa konsol pemulihan Anda berfungsi sebelum melakukan perubahan itu.

HiddenServiceDir /var/lib/tor/silent-admin/
HiddenServicePort 22 127.0.0.1:22

05Tambahkan otorisasi klien untuk endpoint privat

Tanpa otorisasi tambahan, siapa pun yang mengetahui alamat onion dapat mencapai layanan dan prompt SSH-nya. Otorisasi klien Tor v3 menambahkan gerbang kriptografis terpisah: layanan memiliki kunci publik klien yang diotorisasi dan klien memegang kunci privat yang cocok.

Ikuti instruksi terkini Proyek Tor untuk format kunci dan direktori authorized_clients. Verifikasi bahwa klien yang tidak diotorisasi tidak dapat terhubung. Pertahankan juga autentikasi kunci SSH, dan rencanakan cara mencabut otorisasi perangkat yang hilang tanpa kehilangan akses Anda sendiri yang tersisa.

06Uji DNS dan hindari kebocoran identitas

Pencarian nama host yang dilakukan oleh resolver lokal dapat mengungkap target Anda sebelum koneksi mencapai proksi. Menggunakan IP server untuk tujuan clearnet menghindari pencarian khusus itu; nama onion memerlukan resolusi di dalam Tor. Untuk nama host lain, konfirmasi perilaku DNS jarak jauh aplikasi alih-alih mengandalkan pengaturan proksi generik.

Sistem tamu mungkin masih menyimpan stempel waktu autentikasi, nama pengguna, dan entri jurnal. Tinjau retensi mereka secara sengaja alih-alih menonaktifkan setiap diagnostik secara membabi buta. Periksa juga nama host lokal, metadata commit, dan konfigurasi yang disalin untuk detail yang mengidentifikasi. Tor tidak menghapusnya dari lalu lintas aplikasi.

• Gunakan kunci khusus dan alur kerja proyek yang terisolasi.
• Verifikasi port SOCKS yang diharapkan dan perilaku DNS jarak jauh.
• Pertahankan akses pemulihan dan login kedua yang telah diuji sebelum mengubah listener.
• Tinjau layanan Tor dan SSH setelah pembaruan.
• Jangan pernah membagikan kunci identitas onion atau rahasia otorisasi klien.

07Jaga sesi panjang dan pemeliharaan di masa depan tetap praktis

Jalankan tugas administratif panjang di dalam tmux atau screen agar gangguan koneksi tidak menghancurkan sesi. Sirkuit Tor dan kondisi jaringan dapat berubah, jadi buat perintah tetap dapat diulang dan pahami cara melanjutkannya. Sedikit latensi tambahan lebih mudah ditoleransi ketika pemeliharaan direncanakan.

Pola onion yang sama dapat berada di depan dasbor lokal atau layanan Git privat. Setiap aplikasi tetap memerlukan autentikasi, pembaruan perangkat lunak, dan konfigurasi yang cermat. Terus gunakan rute terlindungi untuk dukungan, pembaruan, dan cadangan di mana kebutuhan privasi Anda menuntutnya; konsistensi sama pentingnya dengan penyiapan awal.