Red y Tor
RedderOS sigue una regla: Tor o nada. Todo el TCP sale por Tor, el DNS se resuelve a través de Tor y cualquier otra cosa se descarta. Si Tor no ha arrancado o no conecta, no hay red: el sistema falla cerrado, nunca abierto.
Qué pasa con cada tipo de tráfico
| Tráfico | Qué hace el cortafuegos |
|---|---|
| TCP de cualquier programa | Se redirige al TransPort de Tor (127.0.0.1:9040). |
| DNS (UDP 53, a cualquier servidor) | Se redirige al DNSPort de Tor (127.0.0.1:5353). |
| Otro UDP | Se descarta y se registra en el log del kernel como redderos-leak-blocked. |
ICMP (ping) | Se descarta. |
| IPv6 | Desactivado en el kernel (ipv6.disable=1) y descartado en el cortafuegos. |
| Tráfico entrante | Se descarta, salvo respuestas a conexiones propias y DHCP. |
| Reenvío entre interfaces | Se descarta. |
Solo el usuario debian-tor, con el que se ejecuta Tor, puede abrir conexiones nuevas hacia
Internet. La única excepción es DHCP, para obtener dirección IP.
Como la redirección es transparente, los programas no necesitan configurar ningún proxy. El
cortafuegos está en /etc/nftables.conf y se carga antes que cualquier aplicación.
Tor
Tor escucha solo en 127.0.0.1:
| Puerto | Uso |
|---|---|
9050 | SocksPort para programas que hablan SOCKS (Tor Browser, torsocks). |
9040 | TransPort: recibe el TCP redirigido por el cortafuegos. |
5353 | DNSPort: resuelve los nombres por Tor. |
Otros ajustes de /etc/tor/torrc:
- Aislamiento de circuitos: por el SocksPort, cada destino (dirección y puerto) usa un circuito distinto.
- Direcciones
.onion: se resuelven a direcciones virtuales internas, así que funcionan también con programas que no hablan SOCKS. - Sin IPv6 hacia la red Tor, y escrituras en disco reducidas al mínimo.
- Logs solo en el journal, que vive en la RAM.
Tor Browser
El acceso del escritorio usa torbrowser-launcher. La primera vez descarga Tor Browser (por Tor) y
verifica su firma; la descarga tarda y, en una sesión amnésica, se repite en cada arranque. En un
perfil se queda guardada.
Tor Browser está configurado para usar el Tor del sistema en lugar de lanzar el suyo: así no se ejecuta Tor dentro de Tor, y la configuración de red del navegador queda oculta.
Identidad en la red local
- MAC aleatoria en cada arranque, para todas las interfaces.
- Hostname genérico
redderos, igual en todos los equipos, y unmachine-idvacío. - DHCP sin huella: no envía el hostname ni identificadores estables, e ignora el DNS, el NTP, el hostname y los dominios que proponga el router.
- Sin LLMNR, mDNS ni direcciones IPv6 de enlace local.
Comprueba la MAC con redder-status.
Redes censuradas: puentes
Si la red bloquea Tor, puedes usar puentes. Arranca con Administrador temporal, edita
/etc/tor/torrc y descomenta las líneas preparadas, añadiendo tus puentes:
UseBridges 1
ClientTransportPlugin obfs4 exec /usr/bin/obfs4proxy
Bridge obfs4 <dirección>:<puerto> <huella> cert=… iat-mode=0Después reinicia Tor:
sudo systemctl restart torobfs4proxy viene instalado. Como todo vive en la RAM, el cambio en torrc se pierde al apagar:
hay que repetirlo en cada arranque.
La hora
El sistema no usa NTP (sería tráfico fuera de Tor). Tor necesita una hora razonablemente correcta para conectar: si el reloj del equipo está muy desviado, corrígelo en la BIOS/UEFI.