1. Activer les mises à jour automatiques du logiciel
L’une des choses les plus importantes pour assurer la sécurité de votre relais est d’installer les mises à jour de sécurité en temps voulu et, idéalement, de manière automatique afin de ne pas les oublier.
Suivez les instructions pour activer les mises à jour logicielles automatiques de votre système d’exploitation.
2. Configurez le dépôt du Projet Tor
La configuration du dépôt du Projet Tor pour Fedora consiste essentiellement à mettre en place /etc/yum.repos.d/Tor.repo avec le contenu suivant :
[tor]
name=Tor for Fedora $releasever - $basearch
baseurl=https://rpm.torproject.org/fedora/$releasever/$basearch
enabled=1
gpgcheck=1
gpgkey=https://rpm.torproject.org/fedora/public_gpg.key
cost=100
De plus amples informations à ce sujet sont disponibles ici.
3. Installer tor
Une fois le dépôt Tor configuré, vous pouvez maintenant installer le paquet :
# dnf install tor
4. Installez obfs4proxy
Nous choisissons ici d’installer et d’utiliser obfs4 comme transport enfichable, nous allons donc installer obfs4proxy.
Contrairement aux autres distributions Linux, Fedora propose un paquet binaire que nous pouvons utiliser. Il est disponible depuis Fedora 33.
Le paquet s’appelle obfs4 et c’est tout ce dont vous avez besoin pour l’installer :
# dnf install obfs4
Pour plus d’informations sur l’installation ou la compilation de lyrebird depuis les sources, consultez sa documentation officielle.
5. Modifiez votre fichier de configuration Tor, généralement situé dans /etc/tor/torrc et remplacez son contenu par :
RunAsDaemon 1
BridgeRelay 1
# Remplacez « TODO1 » par un port Tor de votre choix. Ce port doit être accessible
# de l’extérieur. Évitez le port 9001 parce qu’il est généralement associé à Tor et
# les censeurs peuvent rechercher ce port sur Internet.
ORPort TODO1
ServerTransportPlugin obfs4 exec /usr/bin/obfs4proxy
# Remplacez « TODO2 » par un port obfs4 de votre choix. Ce port doit être
# accessible de l’extérieur et doit être différent de celui spécifié pour ORPort.
# Évitez le port 9001 car il est généralement associé à
# Tor et les censeurs peuvent rechercher ce port sur Internet.
ServerTransportListenAddr obfs4 0.0.0.0:TODO2
# Port de communication local entre Tor et obfs4. Mettez toujours cette valeur à « auto ».
# « Ext » signifie « étendu » et non « externe ». N’essayez pas de définir un numéro de port
# spécifique, ni d’écouter sur 0.0.0.0.
ExtORPort auto
# Remplacez « <address@email.com> » par votre adresse courriel pour que nous puissions vous contacter si
# il y a des problèmes avec votre bridge. Ceci est facultatif mais encouragé.
ContactInfo <address@email.com>
# Choisissez un pseudonyme qui vous plaît pour votre bridge. Ceci est facultatif.
Nickname PickANickname
N’oubliez pas de modifier les options ORPort, ServerTransportListenAddr, ContactInfo et Nickname.
- Notez que le port OR de Tor et son port obfs4 doivent tous deux être joignables. Si votre bridge est derrière un pare-feu ou un NAT, veillez à ouvrir les deux ports. Vous pouvez utiliser notre test de joignabilité pour vérifier si votre port obfs4 est joignable depuis Internet.
6. Désactiver SELinux
Vérifiez si SELinux est réglé sur « Enforcing » :
# getenforce
S’il est réglé sur « Enforcing », passez l’état à « Permissive » :
# setenforce 0
Pour rendre les changements permanents :
# nano /etc/selinux/config
Et remplacez SELINUX=enforcing par SELINUX=permissive.
7. Ouvrir les ports dans le pare-feu de Fedora
Pour le port obfs4 et l’ORPort que vous avez choisis dans le fichier torrc :
# firewall-cmd --add-port XXX/tcp --permanent
Après l’avoir fait pour les deux ports, exécutez :
# firewall-cmd --reload
(Facultatif) Configurer systemd pour autoriser obfs4 à se lier aux ports privilégiés
Si vous décidez d’utiliser un port obfs4 fixe inférieur à 1024 (par exemple 80 ou 443), vous devrez configurer systemd et donner à obfs4 la capacité CAP_NET_BIND_SERVICE pour lier le port avec un utilisateur non root :
# setcap cap_net_bind_service=+ep /usr/bin/obfs4proxy
8. Redémarrer Tor
# systemctl enable --now tor
9. Surveiller vos journaux
Pour confirmer que votre bridge fonctionne sans problème, vous devriez voir quelque chose comme ceci (habituellement dans /var/log/tor/log ou /var/log/syslog) :
[notice] Your Tor server's identity key fingerprint is '<NICKNAME> <FINGERPRINT>'
[notice] Your Tor bridge's hashed identity key fingerprint is '<NICKNAME> <HASHED FINGERPRINT>'
[notice] Registered server transport 'obfs4' at '[::]:46396'
[notice] Tor has successfully opened a circuit. Looks like client functionality is working.
[notice] Bootstrapped 100%: Done
[notice] Now checking whether ORPort <redacted>:3818 is reachable... (this may take up to 20 minutes -- look for log messages indicating success)
[notice] Self-testing indicates your ORPort is reachable from the outside. Excellent. Publishing server descriptor.
10. Notes finales
Si vous avez des difficultés à configurer votre bridge, consultez notre section d’aide.
Si votre bridge fonctionne maintenant, consultez les notes post-installation.