1. Stelle sicher, dass die Relay-Anschlüsse erreicht werden können

Wenn du eine Firewall verwendest, öffne eine Lücke in deiner Firewall, damit eingehende Verbindungen die Ports erreichen können, die du für dein Relay verwenden willst (ORPort).

Stelle außerdem sicher, dass du auch alle ausgehenden Verbindungen zulässt, damit dein Relay die anderen Tor-Relays, Clients und Ziele erreichen kann.

Die spezifische ORPort TCP-Portnummer findest du auf der Setup-Seite (in den OS-spezifischen Abschnitten).

2. Überprüfe, ob dein Relay funktioniert

Wenn deine Logdatei (syslog) nach dem Start deines tor-Daemons den folgenden Eintrag enthält, sollte dein Relay wie erwartet laufen:

Self-testing indicates your ORPort is reachable from the outside. Excellent.
Publishing server descriptor.

Etwa 3 Stunden, nachdem du dein Relay gestartet hast, sollte es erscheinen in der Relay Suche auf dem Metrics-Portal. Sie können anhand Ihres Nickname oder Ihrer IP-Adresse nach Ihrem Relay suchen.

3. Mehr zum Thema Tor-Relay-Lebenszyklus

Es dauert eine gewisse Zeit, bis der Relay-Verkehr ansteigt, dies gilt insbesondere für die Wächter-Relays, in geringerem Maße aber auch für die Exit-Relays. Um diesen Prozess zu verstehen, lies über den Lebenszyklus eines neuen Relays.

4. Konfigurations-Management

Wenn du planst, mehr als ein einzelnes Relay zu betreiben, oder wenn du ein Relay mit hoher Kapazität betreiben willst (mehrere Tor-Instanzen pro Server) oder wenn du starke Sicherheitsfunktionen wie Offline Master Keys nutzen willst, ohne zusätzliche Schritte manuell durchzuführen, solltest du Konfigurationsmanagement für bessere Wartungsfreundlichkeit einsetzen.

Es gibt mehrere Konfigurationsmanagement-Lösungen für Unix-basierte Betriebssysteme (Ansible, Puppet, Salt, ...).

Die folgende Ansible Role wurde speziell für Betreiber von Tor-Relays entwickelt und unterstützt mehrere Betriebssysteme: Ansible Relayor.

5. Wichtig: Wenn du mehr als eine Tor-Instanz ausführst

To avoid putting Tor clients at risk, when operating multiple relays you must set a proper FamilyID value and have a valid ContactInfo in your torrc configuration. The FamilyID setting is simply telling Tor clients what Tor relays are controlled by a single entity/operator/organization, so they are not used in multiple positions in a single circuit.

Instead of setting up FamilyID manually, for big operators we recommend to automate it setting via a configuration management solution. Manually managing FamilyID for big relay groups is error-prone and can put Tor clients at risk. Please note that MyFamily, the previous family configuration method, has been removed.

6. Hinzufügen von Firewall-Regeln zum Schutz vor DDoS-Angriffen

Die Konfiguration Ihrer Firewall, um zu viele gleichzeitige Verbindungen zu stoppen, hat sich als erheblich hilfreich erwiesen, um mit DDoS-Angriffen auf Relais umzugehen.

Erwägen Sie die Implementierung eines der folgenden Mechanismen:

• https://github.com/toralf/torutils: Wenn Sie ein Skript zur Bereitstellung wünschen.
• https://github.com/steinex/tor-ddos: Wenn Sie einen einfacheren Ansatz ohne Skripte und ipset wünschen.

Hinweis: Dies sind von der Gemeinschaft bereitgestellte Ressourcen. Sie sollten sie sorgfältig überprüfen, bevor Sie sie auf Ihr System anwenden. Zusätzlich sollten Sie beachten, dass diese Regeln sich als wirksam gegen bestimmte Angriffe erwiesen haben, die in der Vergangenheit stattgefunden haben. Angriffe entwickeln sich ständig weiter und erfordern häufig neue Regeln. Bitte bleiben Sie daher in Verbindung, um diese bei Bedarf zu aktualisieren, entweder durch Abonnieren des entsprechenden Projekts oder durch das Abonnieren der tor-relays Mailingliste.

7. Optional: Begrenzung der Bandbreitennutzung (und des Datenverkehrs)

Tor schränkt seine Bandbreitennutzung nicht standardmäßig ein, unterstützt aber mehrere Möglichkeiten, die genutzte Bandbreite und die Menge des Datenverkehrs zu begrenzen. Dies kann praktisch sein, wenn du sicherstellen möchtest, dass dein Tor-Relay eine bestimmte Bandbreite oder den Gesamtverkehr pro Tag/Woche/Monat nicht überschreitet. Die folgenden Torrc-Konfigurationsoptionen können zur Einschränkung der Bandbreite und des Datenverkehrs verwendet werden:

• AccountingMax
• AccountingRule
• AccountingStart
• BandwidthRate
• BandwidthBurst
• RelayBandwidthRate

Ein schnelles Relay für einige Zeit im Monat ist einem langsamen Relay für den ganzen Monat vorzuziehen.

Siehe auch den Bandbreiteneintrag in den F&A.

8. IPv6-Verfügbarkeit prüfen

Wir ermutigen jeden, IPv6 auf seinen Relays zu aktivieren. Dies ist besonders wertvoll bei Exit- und Wächter-Relays. Note that Tor requires IPv4 connectivity, you can not run a Tor relay on IPv6-only.

Before relying on IPv6, it's recommended to do some basic IPv6 connectivity tests. Die folgende Kommandozeile pingt die IPv6-Adressen der Tor-Verzeichnisdienste von deinem Server aus an:

ping6 -c2 2a02:16a8:662:2203::1 && ping6 -c2 2620:13:4000:6000::1000:118 && ping6 -c2 2001:67c:289c::9 && ping6 -c2 2001:678:558:1000::244 && ping6 -c2 2001:638:a000:4140::ffff:189 && echo OK.

At the end of the output you should see "OK." If that is not the case, do not enable IPv6 in your torrc configuration file before IPv6 is indeed working. Wenn du IPv6 ohne funktionierende IPv6-Konnektivität aktivierst, ist dein gesamtes Relay nicht in Betrieb, unabhängig davon, ob IPv4 funktioniert.

If IPv6 works, your relay is likely already reachable via IPv6. Since Tor 0.4.5, IPv6 address discovery is enabled by default. An ORPort line without an explicit address binds to both IPv4 and IPv6 (0.0.0.0:9001 and [::]:9001), and Tor attempts to auto-discover your IPv6 address the same way it discovers your IPv4. If it can't find a working IPv6 address, it simply publishes IPv4 only.

You can confirm which addresses Tor bound to and discovered by checking your notice log (look for the Opened OR listener lines and the reachability-check results).

If you prefer to specify your IPv6 address explicitly - recommended if auto-discovery picks the wrong address - add a second ORPort line:

ORPort [IPv6-address]:9001

Note: Unlike an auto-discovered address (which Tor silently drops if unreachable), an explicitly configured IPv6 ORPort that fails its reachability check will stop your relay from publishing its descriptor at all, so only configure an address you know works. You have to explicitly specify your IPv6 address in square brackets.

Die Position dieser Zeile in der Konfigurationsdatei spielt keine Rolle. Du kannst es einfach an die ersten ORPort-Zeilen in deiner torrc-Datei anhängen.

Wenn du eine globale IPv6-Adresse hast, solltest du sie in der Ausgabe des folgenden Befehls finden können:

ip -6 addr | grep global | sed 's/inet6//;s#/.*##'

To turn IPv6 off entirely and disable auto-discovery, set AddressDisableIPv6 1 in your torrc.

Wenn du ein Exit-Relay mit IPv6-Verbindung bist, sag deinem Tor-Daemon, dass er das Verlassen über IPv6 erlauben soll, damit Clients IPv6-Ziele erreichen können:

IPv6Exit 1

9. Instandhaltung eines Relays

Datensicherung der Tor-Identitätsschlüssel

Nach der Erstinstallation und dem Start des Tor-Daemons ist es eine gute Idee, eine Datensicherung der Langzeit-Identitätsschlüssel deines Relays zu machen. Sie befinden sich im Unterordner "keys" deines Datenverzeichnisses (mach einfach eine Kopie des gesamten Ordners und speichere ihn an einem sicheren Ort). Da Relays eine Hochlaufphase haben, ist es sinnvoll, den Identitätsschlüssel zu sichern, um den Ruf deines Relays nach einem Festplattenausfall wiederherstellen zu können - sonst müsstest du die Hochlaufphase erneut durchlaufen. Mach dies nur, wenn du deine Schlüssel an einem sehr sicheren Ort aufbewahrst, denn wenn sie gestohlen werden, könnten diese Schlüssel theoretisch die Entschlüsselung des Datenverkehrs oder die Identitätsfeststellung ermöglichen.

Standard-Speicherorte des Schlüsselordners:

• Debian/Ubuntu: /var/lib/tor/keys
• FreeBSD: /var/db/tor/keys
• OpenBSD: /var/tor/keys
• Fedora: /var/lib/tor/keys

Abonniere die Tor-announce-Mailingliste

Dies ist eine Mailingliste mit sehr wenig Verkehr, und du bekommst Informationen über neue stabile Tor-Veröffentlichungen und wichtige Informationen zu Sicherheitsupdates: tor-announce.

Einrichten von Ausfallbenachrichtigungen

Wenn du dein Relay einmal eingerichtet hast, wird es wahrscheinlich ohne viel Arbeit von deiner Seite aus laufen. Wenn etwas schief geht, ist es gut, wenn man automatisch benachrichtigt wird. Wir empfehlen die Verwendung von Tor Weather, einem vom Tor-Projekt entwickelten Benachrichtigungsdienst. Es hilft Relay-Betreibern, benachrichtigt zu werden, wenn ihre Relays oder Brücken offline sind, sowie bei anderen Vorfällen.

Eine weitere Möglichkeit besteht darin, einen der kostenlosen Dienste zu nutzen, mit denen du die ORPorts deines Relays auf Erreichbarkeit prüfen und dir eine E-Mail schicken kannst, wenn sie nicht erreichbar sind. UptimeRobot ist einer dieser Dienste, die es dir ermöglichen, TCP-Listener auf beliebigen Anschlüssen zu überwachen. Dies prüft nur für den Listener, spricht aber nicht das Tor-Protokoll.

Eine gute Möglichkeit, ein Relay auf seinen Gesundheitszustand zu überwachen, ist ein Blick auf seine Bandbreitengrafiken.

Überwachung des Systemzustands

Um sicherzustellen, dass dein Relay funktionstüchtig und nicht überlastet ist, ist es sinnvoll, eine grundlegende Systemüberwachung zu haben, um die folgenden Parameter im Auge zu behalten:

• Bandbreite
• Hergestellte TCP-Verbindungen
• Speicher
• Swap
• CPU

Es gibt viele Werkzeuge zur Überwachung dieser Art von Daten, Munin ist eines davon und relativ einfach einzurichten.

Hinweis: Mach deine privaten Überwachungsdaten-Grafiken nicht öffentlich, da dies Angreifern bei der Deanonymisierung von Tor-Benutzern helfen könnte.

Einige praktische Ratschläge:

• Wenn du Traffic-Statistiken veröffentlichen willst, solltest du den Traffic deiner Relays über mindestens einen Tag zusammenfassen oder größere Aggregationsfenster für die Bandbreite verwenden, wenn dies möglich ist, und wenn möglich Graphen/Statistiken für mehrere Relays kombinieren.
• Die Berichterstattung über einzelne Relays ist schlechter als die Berichterstattung über die Gesamtzahlen für Gruppen von Relays. In Zukunft wird Tor die Bandbreitenstatistiken auf sichere Weise zusammenfassen, so dass die Berichterstattung über die Bandbreite einzelner Relays weniger sicher sein wird als die Statistiken von Tor.
• Kleinere Perioden sind schlechter.
• Zahlen sind schlechter als Diagramme.
• Echtzeitdaten sind schlechter als historische Daten.
• Daten in Kategorien (IP-Version, in/out, etc.) sind schlechter als die Gesamtdaten.

Werkzeuge

Dieser Abschnitt listet einige Werkzeuge auf, die du als Tor-Relay-Betreiber nützlich finden könntest.

• Nyx: ist ein Werkzeug des Tor Project (ehemals Arm), das es dir erlaubt, die Echtzeitdaten deines Relays zu sehen.

• vnstat: vnstat ist ein Befehlszeilenwerkzeug, das die Menge der Daten anzeigt, die über deine Netzwerkverbindung gehen. Du kannst damit auch PNG-Bilder mit Verkehrsdiagrammen erzeugen. vnstat-Dokumentation und Demo-Ausgabe.