نحوه راه‌اندازی یک سرویس پنهان Tor

سرویس پنهان Tor چیست

یک سرویس پنهان Tor — که به آن سرویس onion هم می‌گویند — یک وبسایت یا برنامه‌ای است که فقط از طریق شبکه Tor، در آدرسی با پسوند .onion قابل دسترسی است. برخلاف یک وبسایت معمولی، هیچ آدرس IP عمومی ندارد و در DNS ثبت نشده است. بازدیدکنندگان از طریق Tor به آن دسترسی پیدا می‌کنند، و اتصال بین بازدیدکننده و سرور به گونه‌ای مسیریابی می‌شود که هیچ‌کدام از موقعیت یا IP دیگری آگاه نمی‌شود.

این یک مدل متفاوت و قوی‌تر از قرار دادن یک وبسایت معمولی پشت تدابیر حریم خصوصی است. با سرویس onion، ناشناس بودن در پروتکل تعبیه شده است: موقعیت سرور به‌طور ذاتی پنهان است، نه از طریق پیکربندی‌ای که ممکن است اشتباه کنید. هیچ آدرس IP برای نشت وجود ندارد، هیچ رکورد DNS برای احضار، و هیچ IP هاستینگ برای اسکن یا حمله. خود آدرس از یک کلید رمزنگاری مشتق می‌شود، پس نمی‌توان آن را جعل کرد. این، به معنای واقعی کلمه، قوی‌ترین شکل هاستینگ ناشناس موجود است.

چرا یک سرویس پنهان راه‌اندازی کنیم

سرویس‌های onion توسط طیف گسترده‌ای از اپراتورهای قانونی استفاده می‌شوند: سازمان‌های خبری که خطوط ارائه اطلاعات امن اجرا می‌کنند، سیستم‌های ارسال SecureDrop که روزنامه‌نگاران به آن‌ها متکی هستند، پروژه‌های متمرکز بر حریم خصوصی که آینه‌ای مقاوم در برابر سانسور ارائه می‌دهند، ابزارهای پیام‌رسانی و اشتراک فایل، و افرادی که فقط می‌خواهند سایتی داشته باشند که هیچ‌کس نتواند موقعیت سرور آن را تعیین کند. سازمان‌های بزرگ — از روزنامه‌های بزرگ تا پروژه‌های نرم‌افزاری شناخته‌شده — دقیقاً به این دلیل که قوی هستند سرویس‌های onion اجرا می‌کنند.

دلایل به سه ویژگی ختم می‌شوند. حریم خصوصی موقعیت: سرور را نمی‌توان از طریق IP پیدا کرد، پس نمی‌توان آن را جغرافیایی ردیابی، اسکن یا مستقیماً مورد حمله قرار داد. مقاومت در برابر سانسور: هیچ IP یا دامنه‌ای برای مسدود کردن توسط شبکه وجود ندارد، پس سرویس در جایی که سایت‌های معمولی فیلتر می‌شوند قابل دسترسی باقی می‌ماند. رمزگذاری انتها به انتها: پروتکل Tor اتصال را به‌صورت پیش‌فرض رمزگذاری می‌کند، بدون نیاز به مرجع گواهی. اگر هر کدام از اینها برای پروژه‌تان اهمیت دارد، راه‌اندازی یک سرویس پنهان ارزش دارد — و این راهنما آن را می‌سازد.

آنچه نیاز دارید

نیازمندی‌ها ساده هستند:

• یک VPS. یک سرویس onion سبک است؛ یک پلن کوچک کافی است. انتخاب یک VPS بدون KYC و برون‌مرزی اینجا به دلیل خاصی که در زیر توضیح داده شده اهمیت دارد — ناشناس بودن سرویس تا حدی به ناشناس بودن خود سرور بستگی دارد.
• یک نصب تازه Linux — Debian یا Ubuntu برای دستورات این راهنما.
• مرورگر Tor روی دستگاه خودتان، برای دسترسی به سرویس تمام‌شده و آزمایش آن.

نیازی به نام دامنه ندارید — آدرس .onion برای شما تولید می‌شود — و نیازی به گواهی TLS ندارید، چون Tor رمزگذاری را فراهم می‌کند.

مرحله ۱ — سرور و یک سرویس وب را راه‌اندازی کنید

VPS را تهیه کنید و از طریق SSH وصل شوید. هر چیزی که محتوای شما را سرو می‌کند نصب کنید — برای یک سایت ساده، یک وب‌سرور سبک مانند nginx که با apt install -y nginx نصب می‌شود، ایده‌آل است.

جزئیات مهم پیکربندی: وب‌سرور را فقط به localhost متصل کنید. سرویس وب باید روی 127.0.0.1 گوش کند، نه روی IP عمومی سرور. Tor به صورت محلی به آن وصل می‌شود؛ هیچ چیزی نباید مستقیماً از اینترنت به آن برسد. اتصال به localhost یعنی حتی اگر دستگاه IP عمومی دارد، خود وبسایت روی آن سرو نمی‌شود — فقط Tor می‌تواند به محتوا دسترسی داشته باشد. قبل از ادامه با یک curl 127.0.0.1 سریع تأیید کنید که سایت به صورت محلی کار می‌کند.

مرحله ۲ — Tor را نصب و سرویس onion را پیکربندی کنید

خود Tor را با apt install -y tor نصب کنید. سپس فایل پیکربندی Tor، /etc/tor/torrc، را ویرایش کنید تا سرویس پنهان را تعریف کنید. دو خط کافی است: یک HiddenServiceDir که به دایرکتوری‌ای اشاره می‌کند که Tor کلیدهای سرویس را در آن ذخیره می‌کند، و یک HiddenServicePort که پورت مجازی ۸۰ را به وب‌سرور محلی شما نگاشت می‌کند — مثلاً HiddenServicePort 80 127.0.0.1:80.

Tor را با systemctl restart tor راه‌اندازی مجدد کنید. در اولین اجرا، Tor جفت کلید رمزنگاری سرویس را در دایرکتوری مشخص‌شده تولید می‌کند و آدرس .onion را از آن مشتق می‌کند. آن دایرکتوری اکنون هویت سرویس شما را نگه می‌دارد — آن را به‌طور ایمن پشتیبان‌گیری کنید و فقط برای کاربر Tor قابل خواندن نگه دارید. هر کسی که آن کلیدها را داشته باشد می‌تواند سرویس شما را جعل هویت کند؛ آن‌ها را گم کنید و آدرس برای همیشه از دست می‌رود.

مرحله ۳ — آدرس .onion خود را دریافت و آزمایش کنید

Tor آدرس را در فایلی به نام hostname درون HiddenServiceDir می‌نویسد. آن را با cat بخوانید و یک آدرس ۵۶ کاراکتری با پسوند .onion می‌بینید — این آدرس عمومی سرویس شماست.

مرورگر Tor را روی کامپیوتر خودتان باز کنید، آدرس را paste کنید و بارگذاری کنید. سرویس وب مخصوص localhost شما باید ظاهر شود، کاملاً از طریق Tor سرو شده. اولین اتصال ممکن است چند ثانیه طول بکشد تا Tor مدار را بسازد. همین است — سرویس زنده است، برای هر کسی که Tor دارد قابل دسترسی است، و موقعیت سرور آن از همه بازدیدکنندگان پنهان است.

مرحله ۴ — آن را قفل کنید تا ناشناس بماند

یک سرویس onion کارکرد به معنای ناشناس بودن خودکار نیست. پروتکل موقعیت سرور را از بازدیدکنندگان پنهان می‌کند — اما چندین اشتباه می‌تواند این را خنثی کند. انضباطی که آن را ناشناس نگه می‌دارد:

• همه چیز را به localhost متصل کنید. دوباره بررسی کنید که وب‌سرور و هر پایگاه داده یا backend، فقط روی 127.0.0.1 گوش می‌دهند. سرویسی که تصادفاً روی IP عمومی در معرض دید قرار می‌گیرد می‌تواند با سایت onion مطابقت داده شده و ناشناس بودن آن را از بین ببرد.
• محتوای شناسه‌دار را حذف کنید. بنرهای سرور، صفحات خطای پیش‌فرض، اسکریپت‌های تحلیلی و متادیتا در فایل‌ها همه می‌توانند سرور واقعی را لو بدهند یا آن را به سایت‌های دیگر مرتبط کنند. حسابرسی کنید که سرویس واقعاً چه چیزی می‌فرستد.
• آن را ناشناس مدیریت کنید. برای مدیریت از طریق Tor هم به سرور دسترسی داشته باشید — هرگز مستقیماً از IP خانگی خود SSH نزنید. سرویس onion سرور را پنهان می‌کند؛ با اتصال خودتان آن را خنثی نکنید.
• خود سرور را ناشناس نگه دارید. این دلیل اهمیت VPS بدون KYC و برون‌مرزی است: اگر سرویس با وجود احتیاط‌های شما به هاستش مرتبط شود، هاست باید ارائه‌دهنده‌ای باشد که هیچ هویتی برای حساب نگه نمی‌دارد و هیچ لاگی نگه نمی‌دارد. سرویس پنهان و سرور ناشناس یکدیگر را تقویت می‌کنند.
• هر چیزی که به خارج ارتباط برقرار می‌کند را غیرفعال کنید. نرم‌افزاری که اتصالات خروجی برقرار می‌کند — pingback‌های به‌روزرسانی، فونت‌های خارجی، API‌های شخص ثالث — می‌تواند سرور را لو بدهد. سرویس را مستقل نگه دارید.

سرویس پنهان، clearnet، یا هر دو

مجبور نیستید انحصاراً انتخاب کنید. سه تنظیم معقول وجود دارد. یک سایت فقط-سرویس-پنهان خصوصی‌ترین است — هیچ ردپایی در clearnet ندارد، ایده‌آل برای یک خط ارائه اطلاعات یا سرویسی که نباید قابل موقعیت‌یابی باشد. یک سایت clearnet با آینه onion به مخاطبان معمولی به صورت عادی سرویس می‌دهد در حالی که یک مسیر مقاوم در برابر سانسور و خصوصی برای کسانی که می‌خواهند ارائه می‌دهد — این کاری است که سازمان‌های خبری بزرگ می‌کنند. و یک سایت فقط-clearnet، که در راهنمای ما درباره هاست‌کردن ناشناس وبسایت پوشش داده شده، ساده‌تر است وقتی حریم خصوصی موقعیت در سطح پروتکل لازم نیست.

برای قوی‌ترین ناشناس بودن، فقط-سرویس-پنهان روی یک VPS بدون KYC و برون‌مرزی پاسخ است: سرور هیچ هویتی ندارد، سرویس هیچ IP قابل یافتنی ندارد، و کل سیستم برای هر کسی که Tor دارد قابل دسترسی و برای هیچ‌کس قابل موقعیت‌یابی نیست. با انضباط بالا تنظیم‌شده، هاستینگ واقعاً ناشناس است — نه به عنوان یک ادعای بازاریابی، بلکه به عنوان یک ویژگی پروتکل.