VPS'iniz için Tor tabanlı bir yönetim yolu

01Ödeme kadar yönetimi de koruyun

Korumalı bir tarayıcı üzerinden sunucu sipariş etmek, sonraki bir SSH oturumunu otomatik olarak korumaz. Doğrudan bir giriş, kaynak adresinizi sunucuya ve yol boyunca ağlara açığa çıkarabilir. Tercih edilen yol başarısız olursa acil erişim de dahil olmak üzere, yönetimin nasıl işleyeceğine ilk bağlantıdan önce karar verin.

Tor istemcinin doğrudan IP'sini hedeften gizleyebilir, ancak yeniden kullanılan kimlik bilgileri, tanımlayıcı yapılandırma verileri veya her trafik ilişkilendirme saldırısı için bir çare değildir. Ayrıca gecikme ekler. Yararlı amaç, davranışını anladığınız ve kontrol edebildiğiniz tutarlı bir yönetim yoludur.

02Çalışan bir yerel Tor istemcisiyle başlayın

Bir sistem Tor arka plan programı genellikle 127.0.0.1:9050 üzerinde SOCKS sunarken, Tor Browser genellikle 9150 kullanır. Herhangi bir bağlantı noktasını varsaymak yerine gerçek yapılandırmanızı doğrulayın. Uygulama bağlantısını o proxy üzerinden göndermelidir; Tor Browser'ı açmak bilgisayardaki her programı yönlendirmez.

Desteklenen sistemlerde torsocks, SSH gibi uygulamaları sarar ve desteklenen ağ çağrılarını Tor üzerinden yönlendirir. Kurulumu, yalnızca belgeleme amaçlı bir örnek adresi sunucunuzun gerçek adresiyle değiştirerek test edin. Aşağıdaki komut, çalışan bir sistem Tor arka plan programı ve özel bir yönetim hesabı varsayar.

torsocks ssh -i ~/.ssh/silentvps_ed25519 [email protected]

03Yolu SSH yapılandırmasının bir parçası haline getirin

Düzenli kullanım için, ana makine başına yapılandırma bir sarmalayıcıyı unutma olasılığını azaltır. Aşağıdaki örnek, SOCKS5 proxy desteğine sahip bir netcat uygulaması kullanır. Uygulamalar farklılık gösterir; bu nedenle yüklü sürümünüzdeki -x ve -X seçeneklerini doğrulayın ve ana makine adı çözümlemesinin uzaktan olup olmadığını kontrol edin.

IdentitiesOnly, sunucuya sunulan anahtarları sınırlar; bunu bu proje için kullanılan yeni bir anahtarla eşleştirin. Sunucunun ana makine anahtarı parmak izini güvenilir bir sağlama kanalı üzerinden kontrol edin ve saklayın. Tor ağ yolunu değiştirir, ancak SSH ana makine kimlik doğrulaması yine de gereklidir.

Host silent-admin
    HostName 203.0.113.45
    User admin
    IdentityFile ~/.ssh/silentvps_ed25519
    IdentitiesOnly yes
    ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %p

04SSH bir onion hizmetinin arkasına taşıyın

Bir onion uç noktası, genel olarak erişilebilir bir SSH bağlantı noktası olmadan yönetime izin verir ve bu bağlantı için bir Tor çıkışı kullanmaktan kaçınır. Sunucuya Tor kurun ve yapılandırın, ardından bir onion sanal bağlantı noktasını yerel SSH hizmetine eşleyin. Örnek bir başlangıç yapılandırmasıdır; hizmet yolları ve komutlar dağıtıma göre değişir.

Tor hizmet dizinini oluşturduktan sonra, ana makine adı dosyasını özel olarak alın ve istemci proxy'niz üzerinden bir bağlantı test edin. Onion hizmetinin kimlik anahtarlarını özel tutun. Ancak başarılı bir bağımsız girişten sonra SSH yerel ana makineyle sınırlamalı ve genel erişimi kaldırmalısınız. Bu değişikliği yapmadan önce kurtarma konsolunuzun çalıştığını doğrulayın.

HiddenServiceDir /var/lib/tor/silent-admin/
HiddenServicePort 22 127.0.0.1:22

05Özel bir uç nokta için istemci yetkilendirmesi ekleyin

Ek yetkilendirme olmadan, onion adresini öğrenen herkes hizmete ve onun SSH istemine erişebilir. Tor v3 istemci yetkilendirmesi ayrı bir kriptografik kapı ekler: hizmet yetkili istemcinin ortak anahtarına sahiptir ve istemci eşleşen özel anahtarı tutar.

Anahtar biçimleri ve authorized_clients dizini için Tor Project'in güncel talimatlarını izleyin. Yetkisiz bir istemcinin bağlanamadığını doğrulayın. SSH anahtar kimlik doğrulamasını da sürdürün ve kayıp bir cihazın yetkilendirmesini kendi kalan erişiminizi kaybetmeden nasıl iptal edeceğinizi planlayın.

06DNS test edin ve kimlik sızıntısından kaçının

Yerel çözümleyici tarafından yapılan bir ana makine adı araması, bağlantı proxy'ye ulaşmadan önce hedefinizi açığa çıkarabilir. Bir clearnet hedefi için sunucu IP'sini kullanmak o belirli aramayı önler; onion adları Tor içinde çözümleme gerektirir. Diğer ana makine adları için, genel bir proxy ayarına güvenmek yerine uygulamanın uzaktan DNS davranışını doğrulayın.

Misafir sistem yine de kimlik doğrulama zaman damgalarını, kullanıcı adlarını ve günlük girdilerini saklayabilir. Her tanılama aracını körü körüne devre dışı bırakmak yerine bunların saklanmasını kasıtlı olarak gözden geçirin. Ayrıca tanımlayıcı ayrıntılar için yerel ana makine adlarını, commit meta verilerini ve kopyalanan yapılandırmayı inceleyin. Tor bunları uygulama trafiğinden ayıklamaz.

• Özel bir anahtar ve yalıtılmış proje iş akışı kullanın.
• Beklenen SOCKS bağlantı noktasını ve uzaktan DNS davranışını doğrulayın.
• Dinleyicileri değiştirmeden önce kurtarma erişimini ve test edilmiş ikinci bir girişi koruyun.
• Güncellemelerden sonra Tor ve SSH hizmetini gözden geçirin.
• Onion kimlik anahtarlarını veya istemci yetkilendirme sırlarını asla paylaşmayın.

07Uzun oturumları ve gelecekteki bakımı pratik tutun

Uzun yönetim işlerini tmux veya screen içinde çalıştırın ki bir bağlantı kesintisi oturumu yok etmesin. Tor devreleri ve ağ koşulları değişebilir, bu yüzden komutları yinelenebilir tutun ve nasıl sürdürüleceklerini anlayın. Bakım planlandığında az miktarda ek gecikmeye katlanmak daha kolaydır.

Aynı onion deseni yerel bir kontrol panelini veya özel bir Git hizmetini önünde sunabilir. Her uygulama yine de kimlik doğrulama, yazılım güncellemeleri ve dikkatli yapılandırma gerektirir. Gizlilik gereksinimlerinizin bunu gerektirdiği durumlarda destek, yenileme ve yedeklemeler için korumalı rotayı kullanmaya devam edin; tutarlılık ilk kurulum kadar önemlidir.