Formatação da wiki do Trac aplicada e revisada
Compare changes
+ 778
− 294
A rede Tor depende da doação de conexão de internet por voluntários/as. Quanto mais pessoas estiverem rodando servidores Tor, mais rápida será a rede Tor. Neste guia utilizaremos os seguintes termos para se referir aos servidores Tor: relays (em inglês) ou retransmissores, nós ou relés, em português.
O servidor de Guarda é o primeiro nó na rede de 3 servidores que formam um circuito Tor. Um servidor Intermediário, ou do meio, não é nem um servidor de Guarda e nem de Saída, mas atua como uma conexão entre os dois servidores. Para se tornar Guarda, o servidor precisa ser estável e rápido (no mínimo 2 MByte/s), senão se tornará um nó Intermediário.
Os servidores de Guarda e Intermediário não recebem reclamações de abuso ou outras notificações jurídicas. Porém, todos os servidores são listados publicamente como parte da rede Tor, então podem ser bloqueados por serviços que não entendem como o Tor funciona ou deliberadamente quando querem censurar usuários/as do Tor. Se você está rodando um servidor em casa e tem um IP estático, talvez seja melhor considerar rodar uma Ponte (Bridge) para que o tráfego da sua rede comum, isto é, que não é da rede Tor, também não sofra algum bloqueio. Se você utiliza endereço IP dinâmico ou múltiplos IPs estáticos, isso não será problema.
Um servidor Intermediário requer uma manutenção mínima e o uso da banda larga pode ser altamente customizável pela configuração no tor (isso será descrito com mais detalhes nas próximas seções). A assim chamada "política de saída" do servidor decide se ele permite que os/as clientes desse circuito gerado pelo Tor, “sair” pelo seu servidor. Um servidor Intermediário ou de Guarda tem como política negar a saída pela a sua rede.
O servidor de Saída, é o último servidor do circuito Tor, o qual envia o tráfego de rede para o destino. Os serviços aos que os/as clientes Tor estão conectando (websites, serviços de chat, provedores de email, etc) verão o endereço IP do servidor de Saída ao invés do endereço IP real do/a usuário/a Tor.
Os servidores de Saída tem a maior exposição legal e responsabilidade entre todos os servidores. Por exemplo, se um/a usuário/a baixar material com direito autoral enquanto utiliza um servidor de Saída, você enquanto operador pode receber uma [https://www.dmca.com/Solutions/view.aspx?ID=712f28a5-93f2-467b-ba92-3d58c8345a32&?ref=sol08a2 notificação do DMCA] (''Digital Millennium Copyright Act'', ou, em português, Lei dos Direitos Autorais do Milênio Digital). Qualquer reclamação de abuso sobre o servidor irá diretamente para você (via seu provedor, dependendo dos registro WHOIS). Geralmente, a maioria das reclamações podem ser facilmente lidadas com cartas modelo, que nós discutiremos mais a respeito na seção de considerações legais.
Devido à exposição legal **você não deve rodar um nó de Saída do Tor na sua casa**. Idealmente, operadores/as de servidores de Saída são ligados ou parceiros/as de alguma instituição, como uma universidade, uma biblioteca, um hackerspace ou uma organização privada. Geralmente uma instituição não só fornece uma boa conexão para o servidor de saída, mas também está melhor posicionada para lidar com reclamações de abuso ou das raras requisições por oficiais da lei.
As Pontes são servidores relativamente fáceis de operar, com baixo risco e utilizam pouco tráfego da sua banda larga, mas eles trazem um grande impacto nos/as usuários/as. Uma Ponte não tem nenhuma probabilidade de receber reclamação de abuso, e uma vez que as Pontes não são listadas em diretórios públicos, é muito improvável de serem bloqueadas por serviços populares. Os servidores de Ponte são uma ótima opção se você quiser somente rodar um servidor Tor na rede de sua casa, que tem apenas um IP estático, e não possui uma excelente conexão de internet para doar - nós recomendamos que a sua Ponte tenha no mínimo 1Mbit/s.
* Um servidor que não seja de saída deve ser capaz de lidar com no mínimo 7000 conexões simultâneas. Isto pode sobrecarregar um roteador de baixo custo ou voltado para o/a consumidor/a final. Se você quiser rodar um nó do Tor de um servidor (virtual ou dedicado) num data center, está tudo bem. Mas se rodar numa rede em casa com esses roteadores, você terá que verificar se seu roteador poderá lidar com essa demanda ou se começará a ter problemas. Servidores de Saída velozes (>=100Mb/s) normalmente tem que lidar com muito mais conexões simultâneas (>100k).
* É recomendado que um servidor tenha pelo menos 16 Mbit/s (Mbps) de upload de banda larga e 16Mbit/s (Mbps) de banda larga de download disponível para o Tor. Mais é melhor. Os requerimentos mínimos para um servidor são 10 Mbit/s (Mbps). Se tiver menos que 10 Mbit/s, com pelo menos 1 Mb/s nós recomendamos que você rode uma [https://trac.torproject.org/projects/tor/wiki/doc/PluggableTransports/obfs4proxy Ponte com suporte obfs4]. Se você não sabe a velocidade da sua banda larga, meça pelo site: http://beta.speedtest.net
O endereço IPv4 não é obrigatório ser estático, porém, endereços IP estáticos são desejáveis. Seu endereço IPv4 deve permanecer inalterado por pelo menos 3 horas (se regularmente alterar com maior frequência do que isso, não faz muito sentido rodar um servidor Tor ou uma Ponte uma vez que levará muito tempo para distribuir a nova lista de IPs de servidores para os clientes - que acontece somente uma vez a cada hora).
Ter completo controle sobre o hardware e a conexão garante um ambiente mais controlável e (se tudo for feito corretamente) mais seguro. Você pode hospedar seu próprio hardware (computador) em casa ou em um data center. Às vezes isso é chamado de instalar o relay numa "máquina dedicada" (bare metal, em inglês).
Quando for escolher um provedor de hospedagem considere a diversidade de rede de Sistema Autônomo (AS, em inglês) e país. Uma rede mais diversa é mais resiliente a ataques e indisponibilidades. Muitas vezes não está claro qual AS você está comprando no caso de revendedores, então esteja certo de que é melhor perguntar ao provedor de hospedagem sobre o número do AS antes de comprar um servidor.
**Recomendamos que você use o Sistema Operacional com o qual você tem mais familiaridade.** Por favor, tenha em mente que pela maioria dos servidores da rede Tor funcionarem com a distribuição GNU/Linux Debian, nós queremos evitar uma monocultura, então servidores funcionando com SOs baseados em *BSD são imensamente necessitados.
Uma das coisas mais importantes para manter o seu servidor seguro é instalar as atualizações de segurança na hora e idealmente de forma automática, assim você não se esquecerá disso. Nós reunimos os passos necessários para a atualização automática de software para os diferentes sistemas operacionais:
Nota: Para alguns SOs existe uma versão alfa de pacotes disponível (uma versão Tor com novas funcionalidades que ainda não é estável). Esses pacotes são recomendados apenas para pessoas ansiosas por testar e reportar bugs em funcionalidades/atualizações novíssimas. Se você está querendo fazer um servidor funcionar com mínimo esforço, recomendamos que você se mantenha nas versões estáveis.
* Qual porta TCP externa você quer usar para receber conexões? (Configuração "ORPort", recomendamos a portar 443 se ela já não for usada por nenhum serviço em seu servidor. ORPort 443 é recomendado pois é uma das poucas autorizadas em uma rede wifi pública. A porta 9001 é outra ORPort comumente usada).
Se você estiver usando um firewall, crie uma regra para que o tráfego que chega possa acessar a porta que o relay utilizará (ORPort ou DirPort, se você tiver a habilitado). Também certifique-se de que há uma regra permitindo todo o tráfego saindo, assim seu relay Tor pode acessar os outros servidores Tor, clientes e destinos. Você pode encontrar o número da ORPort específica no exemplo de configuração torrc abaixo (na seção específica de cada SO).
O Tor não escala muito bem em máquinas multi-núcleos, então se você estiver executando um relay Tor em um servidor com uma conexão de internet rápida (>200 MBit/s), você vai querer considerar executar múltiplas instâncias Tor em um único servidor com múltiplos núcleos. Nota: Você só pode executar duas instâncias Tor por IPv4 público.
Se você planeja executar mais que um único relay, ou se você quer executar um relay de alta capacidade (múltiplas instâncias Tor por servidor), ou então quer usar funcionalidades fortes de segurança como [https://trac.torproject.org/projects/tor/wiki/doc/TorRelaySecurity/OfflineKeys Offline Master Keys] sem realizar manualmente os passos adicionais de segurança, você vai querer usar o gerenciamento de configuração para uma melhor manutenção.
Isso é opcional no Debian, porém é obrigatório no Ubuntu. Não utilize os pacotes do tor no repositório Universe Ubuntu. Obtenha as fontes do repositório para adicionar ao seu arquivo de configuração /etc/apt/sources.list rodando o configurador [https://www.torproject.org/docs/debian.html.en#ubuntu aqui]. Também lembre-se de importar as chaves GPG, isso garantirá que você está executando a última versão estável do Tor.
O Tor não limitará o uso da banda por padrão, mas há várias formas para restringir o uso da banda larga e a quantidade de tráfego. Isso pode ajudar se quiser garantir que seu relay Tor não exceda uma certa velocidade ou quantidade total de tráfego por dia/semana/mês. As seguintes opções de configuração torrc podem ser usadas para restringir tráfego e velocidade:
Evite colocar clientes do Tor em risco. Quando você opera vários relays você **necessita** configurar a opção [https://www.torproject.org/docs/tor-manual.html.en#MyFamily MyFamily] corretamente e ter um **[https://www.torproject.org/docs/tor-manual.html.en#ContactInfo ContactInfo]** válido na configuração do seu torrc. A configuração do `MyFamily` é uma forma simples de dizer para os clientes do Tor quais os relays do Tor são controlados por uma única entidade/operador(a)/organização, assim eles não são usados em mais de uma posição num único circuito.
Ao invés de configurar manualmente, para grandes operadores/as, nós recomendamos automatizar a configuração do MyFamily usando uma solução de gerenciamento de configuração. Gerenciar manualmente a opção MyFamily para grandes grupos de relays é passível a erro e pode colocar clientes do Tor em risco.
Para tornar ainda mais óbvio que esse é um relay de saída do Tor, você pode servir uma página HTML de aviso de saída do Tor. O Tor pode fazer isso se a sua DirPort for a porta 80 TCP, você pode utilizar a funcionalidade do tor [https://www.torproject.org/docs/tor-manual.html.en#DirPortFrontPage DirPortFrontPage] para mostrar o arquivo HTML naquela porta. Esse arquivo será exibido para qualquer um que estiver navegando no endereço de IP do seu relay de saída.
Existem várias opções de softwares de servidor de DNS, e unbound tornou-se uma opção popular, mas sinta-se livre para usar qualquer outro que você se sinta confortável. Ao escolher um software resolvedor de DNS, certifique-se que tenha suporte para validação DNSSEC e minimização de QNAME ([https://tools.ietf.org/html/rfc7816 RFC7816]).
Siga aqui as instruções específicas como instalar e configurar o unbound no seu relay de saída - um programa de validação de DNSSEC e cache de resolvedor DNS. O unbound tem muitas configurações e opções de ajustes, mas nós tentamos manter essas instruções tão simples e curtas quanto foi possível e a configuração básica estará ótima para a maioria dos/as operadores/as.
Defina a sua [https://www.torproject.org/docs/tor-manual.html.en#ExitPolicy política de saída]. A política de saída define quais portas de destino você deseja reenviar. Isso tem um impacto na quantidade de e-mails sobre abusos que você receberá (menos portas significa menos e-mails de abusos, mas um relay de saída permitindo apenas poucas portas é também menos útil). Se quiser ser um relay de saída útil, você deve **pelo menos permitir as portas de destino 80 e 443.**
Como um novo relay de saída - especialmente se for novo no local de hospedagem - é bom começar com uma política de saída reduzida (para reduzir a quantidade de e-mails sobre abuso) e futuramente abrir as portas conforme você ficar mais experiente. A política de saída reduzida pode ser encontrada na seguinte página:
Após a instalação inicial e início do serviço do tor, é uma boa ideia fazer o backup das suas chaves de identidade de longa duração do seu relay. Elas estão localizadas em “keys” no subdiretório do seu DataDirectory (simplesmente faça uma cópia do diretório inteiro e armazene numa localização segura).
Uma vez configurado, provavelmente o seu relay dará pouco trabalho. Se alguma coisa der errado, é bom ser notificado automaticamente. Nós recomendamos usar um desses serviços gratuitos que permitem checar o acesso a ORPorts do seu relay e enviar um e-mail caso ele fique indisponível por qualquer razão.
O UptimeRobot é um desses serviços que permite monitorar portas arbitrárias de TCP. Esse serviço pode checar as suas portas configuradas uma vez a cada 5 minutos e enviar um e-mail caso seu processo do tor falhe ou torne-se indisponível. Ele checa apenas a disponibilidade, mas não se comunica com o protoloco do Tor.
Operadores/as de relay de saída devem compreender o risco potencial associado ao rodar um relay. Para a maioria dos/as operadores/as em quase todos os países, pontes e relays de guarda/intermediário são de risco muito baixo. Os de saída são os que apresentam preocupações legais, mas operadores/as sob a maioria das circunstâncias estarão aptos a lidar com os assuntos legais tendo uma carta de resposta à abuso, hospedando o relay de saída de um lugar que não é sua casa e lendo alguns dos recursos legais que advogados/as que apoiam Tor reuniram.
Em geral é uma boa ideia consultar um/a advogado/as antes de decidir operar um relay de saída, especialmente se você vive em um lugar onde operadores deste tipo foram incomodados ou se você é o/a único/a na sua região. Entre em contato com sua organização local de direitos digitais para verificar se eles tem recomendações sobre assistência legal, e, se você não tem certeza quais organizações estão trabalhando na sua região, entre em contato com a EFF para ver se podem te ajudar a entrar em contato com elas: https://www.eff.org/about/contact.
É importante responder a essas reclamações num tempo razoável (geralmente em menos de 24 horas). Se o provedor ficar incomodado com a quantidade de abusos reportados, você pode reduzir a quantidade de portas permitidas pela sua política de saída. Por favor, documente sua experiência com novos provedores nesta página da wiki:
[[https://torservers.net/ | Torservers]] é uma rede global de organizações independentes que ajudam a rede Tor rodando relays com alta taxa de banda. Ser um/a parceiro/a do Torservers é um bom jeito de ficar mais envolvido com a comunidade de operadores de relays, e podem ajudar a se conectar com operadores dedicados ao redor do mundo para solidariedade e suporte. Para virar um/a parceiro/a do Torservers, a coisa mais importante a se fazer é ter um grupo de pessoas (3-5 para começar) interessadas em ajudar com as várias atividades necessárias para se rodar um relay. Deve haver confiança mútua entre as pessoas do grupo, e os/as membros/as devem se comprometer a operar um relay por um longo prazo. Se você não conhece ninguém interessado no seu meio social em operar relays, um lugar para conhecer pessoas é num hackerspace próximo a você: https://wiki.hackerspaces.org/Hackerspaces
Quando você tiver um grupo confiável de pessoas, dependendo do seu país, é comum ser aconselhado a criar algum tipo de organização sem fins lucrativos/não governamental. Isso é útil para ter uma conta bancária, propriedade compartilhada, submissão à editais, etc. Em muitos países, operar um relay como uma ONG ao invés de pessoa física pode dar alguma proteção legal.
Os próximos passos são procurar o hardware, conexão e hospedagem a serem utilizados. Dependendo do seu país e das conexões disponíveis pela comunidade técnica da área, essa pode ser a parte mais difícil. Pequenos provedores de internet (ISP) locais podem ter banda sobrando, e podem estar interessados em ajudar seu grupo provendo um pouco de banda ou um espaço físico no servidor. É extremamente importante manter boas relações com estes provedores.
Muitos departamentos de ciência da computação, bibliotecas universitárias, estudantes individuais e docentes operam relays a partir da sua rede universitára. Essas universidades incluem o MIT, Boston University, University of Waterloo, University of Washington, Northeastern University, Karlstad University, Universitaet Stuttgart e a Friedrich-Alexander University Erlangen-Nuremberg. Os links das universidades públicas brasileiras fazem parte do backbone da Rede Nacional de Ensino e Pesquisa (RNP), uma das melhores conexões disponíveis no país. Para saber mais sobre como conseguir suporte para um relay na sua universidade, verifique os documentos disponibilizados pela EFF: https://www.eff.org/torchallenge/tor-on-campus.html.
Se você trabalha em uma empresa ou organização simpatizante do projeto Tor, esse é um outro cenário ideal para operar um relay. Algumas empresas que rodam relay são Brass Horn Communications, Quintex Alliance Consulting e OmuraVPN. Algumas organizações que também fazem: Digital Courage, Access Now, Derechos Digitales e Lebanon Libraries em New Hampshire.
\ No newline at end of file
\ No newline at end of file