Offshore bir VPS'te Tor relay veya bridge nasıl çalıştırılır

Bir Tor relayı çalıştırmak, kendi gizliliğinizden çok başkasının gizliliğini iyileştiren nadir işlerden biridir. Yazılım tarafı kolaydır: tek bir paket, bir düzine yapılandırma satırı, bir yeniden başlatma. İnsanların takıldığı nokta, Tor relayı için VPS seçimidir; çünkü çoğu sağlayıcı ya relayları yasaklar, ya relayı anlamlı kılan bant genişliğini ölçümlü hale getirir, ya da ilk kötüye kullanım bildirimi geldiğinde sunucuyu null-route eder.

Bir Tor relayı gerçekte nedir — guard, middle, bridge ve exit

Bir Tor istemcisi üç relay üzerinden bir devre (circuit) kurar; böylece tek bir makine hem kim olduğunuzu hem de nereye gittiğinizi asla birlikte göremez. Bu, yalnızca gönüllülerin bu makineleri çalıştırması sayesinde mümkündür. Dört rolün bant genişliği ve hukuki profili birbirinden oldukça farklıdır.

• Guard (giriş) relay — ilk sıçrama (hop). İstemcinin IP'sini görür, hedefi asla görmez. Guard bayrağı, ancak bir relay kararlılığını kanıtladıktan sonra verilir.
• Middle relay — ikinci sıçrama. Ne istemciyi ne de hedefi görür, yalnızca diğer iki relayı görür. En güvenli roldür ve çoğu kişinin başladığı yerdir.
• Exit relay — son sıçrama. Trafik ağdan sizin IP'niz üzerinden çıkar; dolayısıyla dış dünyanın gördüğü şey sunucunuzdur. Gerçek bir hukuki risk söz konusudur.
• Bridge — hükümeti veya ISS'i Tor'u engelleyen kişiler için, genel relay listesinin dışında tutulan, listelenmemiş bir giriş noktasıdır. Çok az bant genişliği gerektirir.

Emin değilseniz bir middle relay veya bridge çalıştırın. İkisi de IP'nizi başkasının trafiğinin ucuna koymaz ve rolü daha sonra tek bir dosyayı düzenleyerek değiştirebilirsiniz.

Tor relayınızın altındaki VPS, işe yarayıp yaramayacağını neden belirler

Tor trafiği eşit şekilde dağıtmaz. Dizin otoriteleri (directory authorities) her relayı ölçer ve bir konsensüs ağırlığı (consensus weight) atar; istemciler relayları bu ağırlıkla orantılı olarak seçer. Kısıtlanmış veya tavan uygulanan bir hatta çalışan relay yavaş ölçülür, düşük ağırlık alır ve neredeyse hiçbir trafik taşımaz. Donanım neredeyse hiç önemli değildir — bir relay bir hesaplama işi değil, bir ağ işidir — ama bant genişliği ve onun etrafındaki politika önemlidir.

• Pratikte gerçekten ölçümsüz (unmetered) transfer. 20 Mbit/s'i sürdüren bir relay, her yönde ayda terabaytlarca veri taşır; ölçümlü bir planda bu, bir katkı değil bir aşım faturasıdır.
• Gizlilik altyapısına hoşgörülü bir sağlayıcı. Birçok sağlayıcı, kullanım şartlarında Tor relaylarını spam ile yan yana sayar ve ilk şikâyette hesabı askıya alır.
• Kararlı çalışma süresi (uptime). Konsensüs ağırlığı ve Guard bayrağı yavaşça oluşur ve relay kaybolduğunda sıfırlanır; bu yüzden haftada bir yeniden başlayan bir sunucu hiçbir zaman birikim yapamaz.

Tor relayı için VPS seçimi: bridge, middle veya 10 Gbps guard

Planı bütçenize değil, role göre seçin. offshore VPS serisindeki her plan, ölçümsüz bant genişliği, bir IPv4 ve bir /64 IPv6 bloğuyla gelir; dolayısıyla katmanlar arasındaki gerçek fark port hızı ve manevra payıdır (headroom).

• Bridge veya mütevazı bir middle relay: $3.99/ay'lık giriş seviyesi VPS — 1 vCPU EPYC, 2 GB DDR5 ECC, 30 GB NVMe Gen4, ölçümsüz 1 Gbps port.
• Ciddi bir middle veya guard relay: $13.99/ay'lık VPS-8 — 4 vCPU, 8 GB ve ölçümsüz 2 Gbps port; ağın orta ağırlıklı bir relaya gönderdiğinden fazlası.
• Yüksek konsensüs ağırlıklı relay: $34.99/ay'dan başlayan 10 Gbps hattı — 4 vCPU EPYC ve 8 GB'ın arkasında özel bir 10 Gbps port; $69.99/ay bunu ikiye katlar.

CPU yalnızca yüksek verimde darboğaz oluşturur; burada TLS ve relay kriptografisi işlemci çevrimi tüketir. Birden fazla relay çalıştırıyorsanız, $64/ay'dan başlayan bir dedicated sunucu komşu sorununu ortadan kaldırır. Konum da önemlidir: 14 bölge, 8'i privacy-tier — Amsterdam, Bükreş, Zürih, Reykjavík, Helsinki, Lüksemburg, Kuala Lumpur ve Moskova — ve relayları farklı ağlara yaymak ağa yardımcı olur.

Adım adım: kripto bakiye yüklemeden çalışan bir relaya

1. 01Tek kullanımlık (burner) bir e-postayla hesap oluşturunBir e-posta ve bir parola. İsim, telefon veya kimlik yok; bizim tarafımızda relayı sizinle ilişkilendirecek hiçbir şey bulunmuyor.
2. 02Bakiyenizi kriptoyla yükleyinÖn ödemeli bakiyenizi Bitcoin, Monero veya diğer 8 coinden biriyle yükleyin. Bakiye asla süresi dolmaz ve asla dondurulmaz.
3. 03VPS'i devreye alınBir plan, bir bölge ve bir Debian veya Ubuntu imajı seçin. Root erişimi medyan sürede yaklaşık bir dakikada hazır olur.
4. 04Tor'u Tor Project deposundan kurunDağıtımın kendi paketinden kaçının — geridedir. Güvenlik güncellemelerinin zamanında gelmesi için resmi apt deposunu ekleyin.
5. 05torrc dosyanızı yazın ve ORPort'u açınRolü, portu, bir nickname ve bir iletişim adresi belirleyin, ardından bu portu güvenlik duvarında açın.
6. 06tor'u yeniden başlatın ve günlüğü (log) okuyunGünlükte, descriptor'ını yayımladığını ve erişilebilirlik onaylandıktan sonra artık durumun iyi göründüğünü görürsünüz.

torrc'nizi yazmak: ORPort, Nickname, ContactInfo ve sınırlar

Yapılandırmanın tamamı tek bir dosyada yaşar ve exit olmayan bir relay için bu dosyada çok az şey gerekir. En önemli değerler, Tor'un hattınızın ne kadarını kullanabileceğini kontrol eder.

• ORPort — diğer relayların ve istemcilerin bağlandığı port. 443 ve 9001 yaygın kullanılır; 443, yalnızca web portlarına izin veren güvenlik duvarlarının arkasındaki kullanıcılara da ulaşır.
• Nickname — kısa, herkese açık bir etiket. Genel relay listesinde görünür; bu yüzden sizi tanımlamayan bir isim seçin.
• ContactInfo — Tor Project'in size ulaşmak için kullanabileceği bir adres. Yayımlanır, bu yüzden bunun için özel bir adres kullanın.
• ExitRelay 0 — sizi exit olmayan bir relay olarak tutan açık anahtar. Varsayılanlara güvenmek yerine bunu bilinçli olarak ayarlayın.
• RelayBandwidthRate ve RelayBandwidthBurst — sürekli bir tavan ve bir patlama (burst) payı; böylece Tor sunucunun geri kalanını asla sıkıştırmaz.
• MyFamily — çalıştırdığınız diğer tüm relayların parmak izleri; böylece istemciler asla sizin iki makineniz üzerinden bir devre kurmaz.

Sansür arkasındaki kullanıcılar için bunun yerine bir obfs4 bridge çalıştırmak

Tor'u engelleyen ülkelerdeki insanlara yardım etmek için, bir bridge harcanan dolar başına bir relaydan daha fazla fayda sağlar. Bridge'ler genel konsensüste yer almaz; bu yüzden bir sansürcü relay listesini indirip her adresi engelleyemez. obfs4 gibi takılabilir bir taşıma (pluggable transport) daha da ileri gider; bağlantıyı sarmalayarak trafik analizinin tanınabilir bir Tor el sıkışması görmesini engeller.

Kurulum; bir bridge modu bayrağı, obfs4proxy'ye işaret eden bir eklenti satırı ve ikinci bir porttan ibarettir. Bant genişliği ihtiyacı o kadar küçüktür ki offshore VPS serisindeki en ucuz plan bile yeterlidir; bu da bridge'i çoğu kişinin yapabileceği en değerli katkı haline getirir. İki uyarı: yoğun gözetim altındaki ağlardaki bridge'ler gerçekten keşfedilir ve adresini herkese açık paylaştığınız bir bridge, artık bridge olmaktan çıkmıştır.

Ölçümsüz portlar, adil kullanım ve bir relayın gerçekte tükettiği şey

Yoğun bir relay, gün boyu ve her iki yönde tavanında çalışır — bu, "sınırsız" barındırma planlarının dışlamak üzere yazıldığı profildir. 10 Gbps Unmetered planları özel bir port, adil kullanım kapsamında gerçekten ölçümsüz transfer, terabayt başına aşım ücreti olmaması ve 1,2 Tbps DDoS temizleme sunar; saatlik veya aylık faturalandırılır. Ulaşacağınız tavan konusunda dürüst olun: Tor Project, bir relayın listelenmeye değer olması için her yönde kabaca 16 Mbit/s ister.

Bir exit node çalıştırmalı mısınız? Dürüst cevap

Muhtemelen hayır, kesinlikle ilk adım olarak değil. Bir exit relay, sunucu IP'nizi başkalarının trafiğinin ucuna koyar. Şikâyetler gelir — telif hakkı bildirimleri, tarama raporları, zaman zaman bir kolluk kuvveti sorgusu — ve bunlar adresi kim çalıştırıyorsa ona yöneltilir. DMCA konusunda gevşek bölgelerde bile bu, üstlendiğiniz bir iştir ve AUP'imiz, Tor üzerinden ne taşınmış olursa olsun gerçekten zararlı kategorileri yasaklamaya devam eder.

Yine de yaparsanız: başka hiçbir şeyi barındırmayan bir IP kullanın, açık bir exit notice yayımlayın ve varsayılan yerine indirgenmiş bir exit policy çalıştırın. Exit'ler gereklidir ve arzı yetersizdir — ama bunlar bir hafta sonu projesi değil, operasyonel bir taahhüttür.

Relayı sizinle ilişkilendirilmemiş tutmak

Relay tasarım gereği herkese açıktır, ama bunun arkasındaki barındırma hesabının kimliğinizi taşıması gerekmez. KYC'siz barındırma bu katmanı tamamen ortadan kaldırır: bir e-posta ve bir parola, doğrulama yok, talep edilecek veya sızdırılacak hiçbir kayıt yok. Bir kripto bakiyesinden ödeme yapmak bankayı devre dışı bırakır.

Ödeme tarafını ne kadar ileri götüreceğiniz bir tehdit modeli sorusudur. Bitcoin takma adlıdır (pseudonymous), anonim değildir — defter herkese açık ve kalıcıdır; bu yüzden doğrulanmış bir borsaya kadar izlenen coin'ler yine de bir yere çıkar. Monero ile bakiye yüklemek bu açığı protokol düzeyinde kapatır. Her iki durumda da, yönettiğiniz IP hiçbir politikanın gizleyemeyeceği tek şeydir: oraya Tor üzerinden veya kontrolünüzdeki bir WireGuard tüneli üzerinden ulaşın.

Devreye girme süreci, izleme ve bir relayı atıl bırakan hatalar

Yeni relaylar başlangıçta neredeyse görmezden gelinir. Otoriteler trafik göndermeden önce sizinkini ölçmelidir; bu yüzden bir iki gün boyunca çok az şey bekleyin, ardından yavaş bir yükseliş gelir — bayrağı kararlılık geçmişine bağlı olan bir guard için bu süre daha da uzundur. Yeniden başlatmak bu ilerlemeyi sıfırlar. Relayınızın görüldüğünü doğrulamak için Tor Project metrik sitesinde parmak izinize (fingerprint) bakın. Bir relayı atıl bırakan hatalar sıradandır:

• ORPort'un güvenlik duvarı tarafından engellenmesi; bu durumda erişilebilirlik testi asla başarılı olmaz ve descriptor asla yayımlanmaz.
• RelayBandwidthRate'in çok düşük bırakılması; bu, ölçülen bant genişliğini ve dolayısıyla konsensüs ağırlığını sınırlar.
• Bir operatörün MyFamily ayarlamadan birden fazla relay çalıştırması — istemci anonimliğine doğrudan zarar verir.

Bir relay çalıştırmak sizin için ne yapar — ve ne yapmaz

Faydası konusunda net olun. Bir relay kendi trafiğinizi anonimleştirmez ve ağdan size hiçbir özel muamele kazandırmaz. Bu, başkalarına yapılan bir katkıdır. Kendiniz için gizlilik istiyorsanız bu farklı bir iştir: kendi çalıştırdığınız bir VPN, bir Monero node'u veya KYC'siz barındırılan bir site. Bir relayın ihtiyaç duyduğu şey, sizinle savaşmayan bir sağlayıcıdır: pratikte ölçümsüz bir port ve kimliğinizi talep etmeyen bir ödeme yolu.