Xarxa i Tor
RedderOS segueix una regla: Tor o res. Tot el TCP surt per Tor, el DNS es resol a través de Tor i qualsevol altra cosa es descarta. Si Tor no ha arrencat o no es connecta, no hi ha xarxa: el sistema falla tancat, mai obert.
Què passa amb cada tipus de trànsit
| Trànsit | Què fa el tallafoc |
|---|---|
| TCP de qualsevol programa | Es redirigeix al TransPort de Tor (127.0.0.1:9040). |
| DNS (UDP 53, a qualsevol servidor) | Es redirigeix al DNSPort de Tor (127.0.0.1:5353). |
| Altre UDP | Es descarta i es registra al registre del nucli com a redderos-leak-blocked. |
ICMP (ping) | Es descarta. |
| IPv6 | Desactivat al nucli (ipv6.disable=1) i descartat al tallafoc. |
| Trànsit entrant | Es descarta, llevat de les respostes a connexions pròpies i DHCP. |
| Reenviament entre interfícies | Es descarta. |
Només l'usuari debian-tor, amb el qual s'executa Tor, pot obrir connexions noves cap a Internet.
L'única excepció és DHCP, per obtenir una adreça IP.
Com que la redirecció és transparent, els programes no necessiten configurar cap servidor intermediari.
El tallafoc és a /etc/nftables.conf i es carrega abans que qualsevol aplicació.
Tor
Tor només escolta a 127.0.0.1:
| Port | Ús |
|---|---|
9050 | SocksPort per als programes que parlen SOCKS (Tor Browser, torsocks). |
9040 | TransPort: rep el TCP redirigit pel tallafoc. |
5353 | DNSPort: resol els noms per Tor. |
Altres paràmetres de /etc/tor/torrc:
- Aïllament de circuits: pel SocksPort, cada destinació (adreça i port) utilitza un circuit diferent.
- Adreces
.onion: es resolen a adreces virtuals internes, de manera que també funcionen amb programes que no parlen SOCKS. - Sense IPv6 cap a la xarxa Tor, i escriptures al disc reduïdes al mínim.
- Registres només al journal, que viu a la RAM.
Tor Browser
L'accés directe de l'escriptori utilitza torbrowser-launcher. La primera vegada baixa Tor Browser
(per Tor) i en verifica la signatura; la baixada triga i, en una sessió amnèsica, es repeteix a cada
arrencada. En un perfil queda desada.
Tor Browser està configurat per utilitzar el Tor del sistema en lloc de llançar-ne un de propi: així no s'executa Tor dins de Tor, i la configuració de xarxa del navegador queda amagada.
Identitat a la xarxa local
- MAC aleatòria a cada arrencada, per a totes les interfícies.
- Nom d'amfitrió genèric
redderos, igual a tots els ordinadors, i unmachine-idbuit. - DHCP sense empremta: no envia el nom d'amfitrió ni identificadors estables, i ignora el DNS, l'NTP, el nom d'amfitrió i els dominis que proposi l'encaminador.
- Sense LLMNR, mDNS ni adreces IPv6 d'enllaç local.
Comprova la MAC amb redder-status.
Xarxes censurades: ponts
Si la xarxa bloqueja Tor, pots utilitzar ponts. Arrenca amb Administrador temporal, edita
/etc/tor/torrc i descomenta les línies preparades, tot afegint-hi els teus ponts:
UseBridges 1
ClientTransportPlugin obfs4 exec /usr/bin/obfs4proxy
Bridge obfs4 <dirección>:<puerto> <huella> cert=… iat-mode=0Després reinicia Tor:
sudo systemctl restart torobfs4proxy ve instal·lat. Com que tot viu a la RAM, el canvi a torrc es perd en apagar: cal
repetir-lo a cada arrencada.
L'hora
El sistema no utilitza NTP (seria trànsit fora de Tor). Tor necessita una hora raonablement correcta per connectar-se: si el rellotge de l'ordinador està molt desviat, corregeix-lo a la BIOS/UEFI.