ง่ายพอกับ iptables สามารถมีกฎที่ตรงกับผู้ใช้บางคนและคุณควรตั้งค่าtorให้ทำงานภายใต้ ID ผู้ใช้ของตัวเอง; แพคเกจ deb และ rpm จัดหาโดยลีนุกซ์รุ่นใหญ่และโครงการทอร์ตั้งค่าผู้ใช้สำหรับทอร์เรียบร้อยแล้ว
ทำตัวอย่าง iptables ที่ใช้งานได้และการกำหนดค่า Tor ให้สมบูรณ์ ไฟร์วอลล์นี้สามารถโหลดได้ด้วยiptables-restoreคำสั่ง ผลลัพธ์สุดท้ายของการกำหนดค่านี้จะกำหนดเส้นทางการรับส่งข้อมูลทั้งหมดที่มาจากหรือถูกส่งต่อผ่านโฮสต์ไปยัง Tor โดยไม่จำเป็นต้องกำหนดค่าพร็อกซี การกำหนดค่านี้ควรเป็นแบบป้องกันการรั่ว แม้ว่าแน่นอนคุณควรทดสอบอย่างละเอียด
โปรดทราบว่า uid สำหรับผู้ใช้ tor (ที่นี่998) จะถูกจัดเก็บในรูปแบบตัวเลขโดย iptables แทน uid ที่ถูกต้องสำหรับผู้ใช้ tor ของคุณในแต่ละสถานที่ที่ปรากฏที่นี่
โปรดทราบว่าจะต้องกำหนดที่อยู่ IP ของโฮสต์ในกฎข้อแรกเพื่อรองรับคลีเมนเน็ตที่เข้ามาและปริมาณการใช้งาน LAN ที่ส่งตรงไปยังโฮสต์โดยตรง (ที่นี่แสดงเป็น198.51.100.212) หากคุณมีหลายที่อยู่ IP ให้ทำซ้ำกฎสำหรับแต่ละที่อยู่
*nat
:PREROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -d 198.51.100.212/32 -j RETURN
-A PREROUTING -p udp -m udp --dport 53 -j REDIRECT --to-ports 53
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j REDIRECT --to-ports 49151
-A OUTPUT -o lo -j RETURN
-A OUTPUT -m owner --uid-owner 998 -j RETURN
-A OUTPUT -p udp -m udp --dport 53 -j REDIRECT --to-ports 53
-A OUTPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j REDIRECT --to-ports 49151
COMMIT
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m tcp -d 127.0.0.1 --dport 22 -j ACCEPT
-A INPUT -j LOG --log-prefix "IPv4 REJECT INPUT: "
-A FORWARD -j LOG --log-prefix "IPv4 REJECT FORWARD: "
-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -d 127.0.0.1/32 -p udp -m udp --dport 53 -j ACCEPT
-A OUTPUT -d 127.0.0.1/32 -p tcp -m tcp --dport 49151 -j ACCEPT
-A OUTPUT -m owner --uid-owner 998 -m conntrack --ctstate NEW -j ACCEPT
-A OUTPUT -j LOG --log-prefix "IPv4 REJECT OUTPUT: "
COMMIT
กฎ ssh INPUT อนุญาตเฉพาะการเชื่อมต่อหากพวกเขามาถึงผ่านโฮสต์ในพื้นที่นั่นคือบริการที่ซ่อนของ Tor หากคุณยังต้องการที่จะอนุญาตให้มีการเชื่อมต่อเข้า SSH ผ่าน Clearnet -d 127.0.0.1ลบ
torrcไฟล์ที่เกี่ยวข้องคือ:
User toranon
SOCKSPort 9050
DNSPort 53
TransPort 49151
AutomapHostsOnResolve 1
การกำหนดค่านี้ต้องการให้โฮสต์มีที่อยู่ IP แบบคงที่ สำหรับกรณีการใช้งานที่คาดว่าเป็นไปได้ว่าคุณได้วางแผนไว้แล้วว่าจะมีที่อยู่ IP แบบคงที่
และในที่สุดผลลัพธ์!
[root@unknown ~]# curl ifconfig.me
31.31.73.71
[root@unknown ~]# host 31.31.73.71
71.73.31.31.in-addr.arpa domain name pointer cronix.sk.
[root@unknown ~]# curl ifconfig.me
178.20.55.16
[root@unknown ~]# host 178.20.55.16
16.55.20.178.in-addr.arpa domain name pointer marcuse-1.nos-oignons.net.