// docs

Rede e Tor

RedderOS segue unha regra: Tor ou nada. Todo o TCP sae por Tor, o DNS resólvese a través de Tor e calquera outra cousa descártase. Se Tor non arrincou ou non conecta, non hai rede: o sistema falla pechado, nunca aberto.

Que pasa con cada tipo de tráfico

Tráfico	Que fai a devasa
TCP de calquera programa	Rediríxese ao TransPort de Tor (`127.0.0.1:9040`).
DNS (UDP 53, a calquera servidor)	Rediríxese ao DNSPort de Tor (`127.0.0.1:5353`).
Outro UDP	Descártase e rexístrase no rexistro do kernel como `redderos-leak-blocked`.
ICMP (`ping`)	Descártase.
IPv6	Desactivado no kernel (`ipv6.disable=1`) e descartado na devasa.
Tráfico entrante	Descártase, agás as respostas a conexións propias e DHCP.
Reenvío entre interfaces	Descártase.

Só o usuario debian-tor, co que se executa Tor, pode abrir conexións novas cara a Internet. A única excepción é DHCP, para obter enderezo IP.

Como a redirección é transparente, os programas non necesitan configurar ningún proxy. A devasa está en /etc/nftables.conf e cárgase antes ca calquera aplicación.

Tor

Tor escoita só en 127.0.0.1:

Porto	Uso
`9050`	SocksPort para programas que falan SOCKS (Tor Browser, `torsocks`).
`9040`	TransPort: recibe o TCP redirixido pola devasa.
`5353`	DNSPort: resolve os nomes por Tor.

Outros axustes de /etc/tor/torrc:

Illamento de circuítos: polo SocksPort, cada destino (enderezo e porto) usa un circuíto distinto.
Enderezos .onion: resólvense a enderezos virtuais internos, así que funcionan tamén con programas que non falan SOCKS.
Sen IPv6 cara á rede Tor, e escrituras no disco reducidas ao mínimo.
Rexistros só no journal, que vive na RAM.

Tor Browser

O acceso directo do escritorio usa torbrowser-launcher. A primeira vez descarga Tor Browser (por Tor) e verifica a súa sinatura; a descarga tarda e, nunha sesión amnésica, repítese en cada arranque. Nun perfil queda gardado.

Tor Browser está configurado para usar o Tor do sistema en lugar de lanzar o seu: así non se executa Tor dentro de Tor, e a configuración de rede do navegador queda oculta.

Identidade na rede local

MAC aleatoria en cada arranque, para todas as interfaces.
Hostname xenérico redderos, igual en todos os equipos, e un machine-id baleiro.
DHCP sen pegada: non envía o hostname nin identificadores estables, e ignora o DNS, o NTP, o hostname e os dominios que propoña o router.
Sen LLMNR, mDNS nin enderezos IPv6 de ligazón local.

Comproba a MAC con redder-status.

Redes censuradas: pontes

Se a rede bloquea Tor, podes usar pontes. Arrinca con Administrador temporal, edita /etc/tor/torrc e descomenta as liñas preparadas, engadindo as túas pontes:

texto

UseBridges 1
ClientTransportPlugin obfs4 exec /usr/bin/obfs4proxy
Bridge obfs4 <dirección>:<puerto> <huella> cert=… iat-mode=0

Despois reinicia Tor:

sudo systemctl restart tor

obfs4proxy vén instalado. Como todo vive na RAM, o cambio en torrc pérdese ao apagar: cómpre repetilo en cada arranque.

A hora

O sistema non usa NTP (sería tráfico fóra de Tor). Tor necesita unha hora razoablemente correcta para conectar: se o reloxo do equipo está moi desviado, corríxeo na BIOS/UEFI.