1. S’assurer que les ports du relais sont joignables

Si vous utilisez un pare-feu, ouvrez une brèche dans votre pare-feu pour que les connexions entrantes puissent atteindre les ports que vous utiliserez pour votre relais (ORPort).

Assurez-vous également d’autoriser toutes les connexions sortantes, afin que votre relais puisse atteindre les autres relais Tor, les clients et les destinations.

Vous pouvez trouver le numéro de port TCP ORPort spécifique dans la page de configuration (dans les sections propres à chaque système d’exploitation).

2. Vérifiez que votre relais fonctionne

Si votre fichier journal (syslog) contient l’entrée suivante après le démarrage de votre démon tor, votre relais devrait être opérationnel et fonctionner comme prévu :

Self-testing indicates your ORPort is reachable from the outside. Excellent.
Publishing server descriptor.

Environ 3 heures après le démarrage de votre relais, celui-ci devrait apparaître dans Relay Search sur le portail Metrics. Vous pouvez rechercher votre relais en utilisant votre pseudo ou votre adresse IP.

3. En savoir plus sur le cycle de vie des relais Tor

Il faut un certain temps pour que le trafic d’un relais augmente, ce qui est particulièrement vrai pour les relais de garde, mais aussi, dans une moindre mesure, pour les relais de sortie. Pour comprendre ce processus, lisez le cycle de vie d’un nouveau relais.

4. Gestion de la configuration

Si vous prévoyez d’exploiter plus d’un relais, si vous voulez exploiter un relais de grande capacité (plusieurs instances Tor par serveur) ou si vous voulez utiliser des fonctionnalités de sécurité fortes comme les Offline Master Keys sans effectuer manuellement d’étapes supplémentaires, vous pouvez recourir à la gestion de configuration pour une meilleure maintenabilité.

Il existe de nombreuses solutions de gestion de la configuration pour les systèmes d’exploitation basés sur Unix (Ansible, Puppet, Salt, ...).

Le rôle Ansible suivant a été spécialement conçu pour les opérateurs de relais Tor et prend en charge plusieurs systèmes d’exploitation : Ansible Relayor.

5. Important : si vous utilisez plus d’une instance de Tor

Pour éviter de mettre les clients Tor en danger, lorsque vous exploitez plusieurs relais, vous devez définir une valeur FamilyID correcte et avoir un ContactInfo valide dans votre configuration torrc. Le paramètre FamilyID indique simplement aux clients Tor quels relais sont contrôlés par une même entité, un même opérateur ou une même organisation, afin qu’ils ne soient pas utilisés à plusieurs positions d’un même circuit.

Plutôt que de configurer FamilyID à la main, nous recommandons aux grands opérateurs d’en automatiser le réglage au moyen d’une solution de gestion de configuration. Gérer FamilyID à la main pour de grands groupes de relais est source d’erreurs et peut mettre les clients Tor en danger. Veuillez noter que MyFamily, l’ancienne méthode de configuration des familles, a été supprimée.

6. Ajoutez des règles de pare-feu pour vous protéger des attaques DDoS

Configurer votre pare-feu pour bloquer un trop grand nombre de connexions simultanées s’est révélé très utile face aux attaques DDoS contre les relais.

Envisagez de mettre en place l’un des mécanismes suivants :

• https://github.com/toralf/torutils : si vous souhaitez un script à déployer.
• https://github.com/steinex/tor-ddos : si vous souhaitez une approche plus simple, sans scripts ni ipset.

Remarque : ces ressources sont fournies par la communauté. Vous devriez les examiner attentivement avant de les appliquer à votre système. De plus, sachez que ces règles se sont révélées efficaces contre des attaques particulières survenues par le passé. Les attaques évoluent en permanence et nécessitent souvent de nouvelles règles ; restez donc informé pour les mettre à jour si nécessaire, soit en suivant le projet concerné, soit en vous abonnant à la liste de diffusion tor-relays.

7. Facultatif : limiter l’utilisation de la bande passante (et le trafic)

Tor ne limite pas l’utilisation de la bande passante par défaut, mais propose plusieurs moyens de restreindre la bande passante utilisée et la quantité de trafic. Cela peut être pratique si vous voulez vous assurer que votre relais Tor ne dépasse pas une certaine quantité de bande passante ou de trafic total par jour/semaine/mois. Les options de configuration suivantes de torrc peuvent être utilisées pour restreindre la bande passante et le trafic :

• AccountingMax
• AccountingRule
• AccountingStart
• BandwidthRate
• BandwidthBurst
• RelayBandwidthRate

Il est préférable d’avoir un relais rapide pendant une partie du mois plutôt qu’un relais lent pendant tout le mois.

Voir également l’entrée sur la bande passante dans la FAQ.

8. Vérifiez la disponibilité d’IPv6

Nous encourageons tout le monde à activer l’IPv6 sur ses relais. Ceci est particulièrement utile pour les relais de sortie et de garde. Notez que Tor exige une connectivité IPv4 : vous ne pouvez pas faire fonctionner un relais Tor en IPv6 seulement.

Avant de vous appuyer sur IPv6, il est recommandé d’effectuer quelques tests de connectivité IPv6 de base. La ligne de commande suivante envoie un ping aux adresses IPv6 des autorités d’annuaire Tor depuis votre serveur :

ping6 -c2 2a02:16a8:662:2203::1 && ping6 -c2 2620:13:4000:6000::1000:118 && ping6 -c2 2001:67c:289c::9 && ping6 -c2 2001:678:558:1000::244 && ping6 -c2 2001:638:a000:4140::ffff:189 && echo OK.

À la fin de la sortie, vous devriez voir « OK ». Si ce n’est pas le cas, n’activez pas IPv6 dans votre fichier de configuration torrc avant qu’IPv6 ne fonctionne effectivement. Si vous activez l’IPv6 sans que la connectivité IPv6 fonctionne, l’ensemble de votre relais restera inutilisé, même si l’IPv4 fonctionne.

Si IPv6 fonctionne, votre relais est probablement déjà joignable en IPv6. Depuis Tor 0.4.5, la découverte d’adresse IPv6 est activée par défaut. Une ligne ORPort sans adresse explicite se lie à la fois en IPv4 et en IPv6 (0.0.0.0:9001 et [::]:9001), et Tor tente de découvrir automatiquement votre adresse IPv6 comme il découvre votre adresse IPv4. S’il ne trouve pas d’adresse IPv6 fonctionnelle, il publie simplement en IPv4 seulement.

Vous pouvez vérifier à quelles adresses Tor s’est lié et lesquelles il a découvertes en consultant votre journal notice (cherchez les lignes Opened OR listener et les résultats du test de joignabilité).

Si vous préférez indiquer explicitement votre adresse IPv6 (recommandé si la découverte automatique choisit la mauvaise adresse), ajoutez une seconde ligne ORPort :

ORPort [IPv6-address]:9001

Remarque : contrairement à une adresse découverte automatiquement (que Tor abandonne silencieusement si elle est injoignable), un ORPort IPv6 configuré explicitement qui échoue à son test de joignabilité empêchera votre relais de publier son descripteur ; ne configurez donc qu’une adresse dont vous savez qu’elle fonctionne. Vous devez indiquer explicitement votre adresse IPv6 entre crochets.

L’emplacement de cette ligne dans le fichier de configuration n’a pas d’importance. Vous pouvez simplement l’ajouter à côté des premières lignes ORPort dans votre fichier torrc.

Si vous disposez d’une adresse IPv6 globale, vous devriez pouvoir la trouver dans le résultat de la commande suivante :

ip -6 addr | grep global | sed 's/inet6//;s#/.*##'

Pour désactiver entièrement IPv6 et la découverte automatique, mettez AddressDisableIPv6 1 dans votre torrc.

Si vous êtes un relais de sortie disposant d’une connectivité IPv6, indiquez à votre démon tor d’autoriser la sortie via IPv6 afin que les clients puissent atteindre des destinations IPv6 :

IPv6Exit 1

9. Maintenir un relais

Sauvegarde des clés d’identité Tor

Après l’installation initiale et le démarrage du démon tor, il est conseillé de faire une sauvegarde des clés d’identité à long terme de votre relais. Elles se trouvent dans le sous-dossier « keys » de votre DataDirectory (il suffit de faire une copie de l’ensemble du dossier et de la conserver dans un endroit sûr). Comme les relais ont un temps de montée en puissance, il est logique de sauvegarder la clé d’identité pour pouvoir restaurer la réputation de votre relais après une panne de disque - sinon vous devriez repasser par la phase de montée en puissance. Ne le faites que si vous disposez d’un endroit très sûr pour vos clés, car en cas de vol, ces clés pourraient théoriquement permettre le déchiffrement du trafic ou une usurpation d’identité.

Emplacements par défaut du dossier des clés :

• Debian/Ubuntu: /var/lib/tor/keys
• FreeBSD: /var/db/tor/keys
• OpenBSD: /var/tor/keys
• Fedora: /var/lib/tor/keys

S’abonner à la liste de diffusion tor-announce

Il s’agit d’une liste de diffusion à très faible trafic et vous recevrez des informations sur les nouvelles versions stables de Tor et des informations importantes sur les mises à jour de sécurité : tor-announce.

Mise en place des notifications de panne

Une fois votre relais configuré, il fonctionnera probablement sans beaucoup de travail de votre part. Si quelque chose tourne mal, il est bon d’en être averti automatiquement. Nous recommandons d’utiliser Tor Weather, un service de notification développé par le Projet Tor. Il aide les opérateurs de relais à être avertis lorsque leurs relais ou leurs bridges sont hors ligne, ainsi qu’en cas d’autres incidents.

Une autre possibilité est d’utiliser l’un des services gratuits qui permettent de vérifier que les ORPorts de votre relais sont joignables et qui vous envoient un courriel s’ils cessent de l’être. UptimeRobot est l’un de ces services qui vous permettent de surveiller des services en écoute TCP sur des ports arbitraires. Cela vérifie seulement la présence du port en écoute, mais ne parle pas le protocole Tor.

Un bon moyen de surveiller l’état de santé d’un relais est de jeter un coup d’œil à ses graphiques de bande passante.

Surveillance de l’état du système

Pour vous assurer que votre relais est en bonne santé et qu’il n’est pas submergé, il est judicieux de mettre en place une surveillance de base du système afin de garder un œil sur les paramètres suivants :

• Bande passante
• Connexions TCP établies
• Mémoire
• Swap
• Processeur

Il existe de nombreux outils pour surveiller ce type de données, munin est l’un d’entre eux et il est relativement facile à mettre en place.

Note : Ne rendez pas publics vos graphiques de données de surveillance privée car cela pourrait aider les attaquants à désanonymiser les utilisateurs de Tor.

Quelques conseils pratiques :

• Si vous souhaitez publier des statistiques de trafic, agrégez le trafic de vos relais sur au moins une journée, ou utilisez des fenêtres d’agrégation plus larges pour la bande passante si possible, et combinez les graphiques et statistiques de plusieurs relais quand c’est possible.
• Les rapports sur des relais individuels sont moins bons que les rapports sur les totaux de groupes de relais. À l’avenir, tor agrégera de manière sécurisée les statistiques de bande passante, de sorte que tout rapport de bande passante d’un relais individuel sera moins sûr que les statistiques de tor.
• Les périodes plus courtes sont pires.
• Les chiffres sont pires que les graphiques.
• Les données en temps réel sont moins bonnes que les données historiques.
• Les données par catégories (version IP, entrée/sortie, etc.) sont moins bonnes que les données totales.

Outils

Cette section énumère quelques outils qui peuvent s’avérer utiles en tant qu’opérateur de relais Tor.

• Nyx : est un outil du Projet Tor (anciennement arm) qui vous permet de voir les données en temps réel de votre relais.

• vnstat : vnstat est un outil en ligne de commande qui indique la quantité de données transitant par votre connexion réseau. Vous pouvez également l’utiliser pour générer des images PNG montrant des graphiques de trafic. Documentation vnstat et sortie de démonstration.