Dịch vụ ẩn Tor là gì
Dịch vụ ẩn Tor — còn gọi là dịch vụ onion — là một website hoặc ứng dụng chỉ có thể truy cập qua mạng Tor, tại địa chỉ kết thúc bằng .onion. Khác với website thông thường, nó không có IP công khai và không được liệt kê trong DNS. Người dùng truy cập qua Tor, và kết nối giữa người dùng và server được định tuyến sao cho không bên nào biết vị trí hay IP của bên kia.
Đây là mô hình khác biệt và mạnh hơn so với việc đặt website thông thường đằng sau các biện pháp bảo mật. Với dịch vụ onion, sự ẩn danh được tích hợp vào giao thức: vị trí server được ẩn giấu theo thiết kế, không phải do cấu hình mà bạn có thể mắc sai lầm. Không có địa chỉ IP để lộ, không có bản ghi DNS để trát đòi hầu tòa, và không có IP hosting nào để ai đó quét hay tấn công. Địa chỉ bản thân được dẫn xuất từ khóa mật mã, nên không thể giả mạo. Theo nghĩa thực sự, đây là hình thức hosting ẩn danh mạnh nhất hiện có.
Tại sao nên host dịch vụ ẩn
Dịch vụ onion được sử dụng bởi nhiều loại nhà vận hành hợp pháp: các tổ chức tin tức vận hành đường dây tư vấn bảo mật, hệ thống nộp tài liệu SecureDrop mà các nhà báo tin tưởng, các dự án tập trung vào quyền riêng tư cung cấp bản sao kháng kiểm duyệt, công cụ nhắn tin và chia sẻ tệp, và các cá nhân đơn giản muốn có một trang mà không ai có thể xác định vị trí server. Các tổ chức lớn — từ các tờ báo lớn đến các dự án phần mềm nổi tiếng — vận hành dịch vụ onion chính xác vì chúng đáng tin cậy.
Lý do tập trung ở ba đặc tính. Riêng tư về vị trí: server không thể bị tìm thấy qua IP, nên không thể xác định vị trí địa lý, quét hay tấn công trực tiếp. Kháng kiểm duyệt: không có IP hay tên miền nào để mạng chặn, nên dịch vụ vẫn có thể truy cập ở những nơi các trang thông thường bị lọc. Mã hóa đầu-cuối: giao thức Tor mã hóa kết nối theo mặc định, không liên quan đến cơ quan chứng nhận. Nếu bất kỳ điều nào trong số đó quan trọng với dự án của bạn, dịch vụ ẩn đáng để vận hành — và hướng dẫn này sẽ xây dựng một cái.
Những gì bạn cần
Yêu cầu khá khiêm tốn:
- Một VPS. Dịch vụ onion khá nhẹ; một gói nhỏ là đủ. Việc chọn VPS offshore không KYC quan trọng ở đây vì một lý do cụ thể được giải thích bên dưới — sự ẩn danh của dịch vụ phụ thuộc một phần vào sự ẩn danh của chính server.
- Bản cài Linux mới — Debian hoặc Ubuntu cho các lệnh ở đây.
- Tor Browser trên máy của bạn, để truy cập và kiểm tra dịch vụ hoàn chỉnh.
Bạn không cần tên miền — địa chỉ .onion được tạo tự động — và bạn không cần chứng chỉ TLS, vì Tor cung cấp mã hóa.
Bước 1 — Thiết lập server và dịch vụ web
Khởi tạo VPS và kết nối qua SSH. Cài đặt bất cứ thứ gì sẽ phục vụ nội dung của bạn — cho một trang web đơn giản, một web server nhẹ như nginx, cài đặt bằng apt install -y nginx, là lý tưởng.
Chi tiết cấu hình quan trọng: bind web server vào localhost. Dịch vụ web nên lắng nghe trên 127.0.0.1, không phải trên IP công khai của server. Tor sẽ kết nối đến nó cục bộ; không có gì nên tiếp cận nó trực tiếp từ internet. Bind vào localhost có nghĩa là dù máy có IP công khai, website không được phục vụ trên đó — chỉ Tor mới có thể tiếp cận nội dung. Xác nhận trang hoạt động cục bộ bằng curl 127.0.0.1 trước khi tiếp tục.
Bước 2 — Cài đặt Tor và cấu hình dịch vụ onion
Cài đặt Tor bằng apt install -y tor. Sau đó chỉnh sửa tệp cấu hình Tor, /etc/tor/torrc, để định nghĩa dịch vụ ẩn. Chỉ cần hai dòng: HiddenServiceDir trỏ đến thư mục nơi Tor sẽ lưu trữ khóa của dịch vụ, và HiddenServicePort ánh xạ cổng ảo 80 đến web server cục bộ của bạn — ví dụ HiddenServicePort 80 127.0.0.1:80.
Khởi động lại Tor bằng systemctl restart tor. Lần khởi động đầu tiên, Tor tạo ra cặp khóa mật mã của dịch vụ trong thư mục bạn chỉ định và dẫn xuất địa chỉ .onion từ đó. Thư mục đó bây giờ chứa danh tính của dịch vụ — sao lưu an toàn và giữ cho chỉ người dùng Tor đọc được. Bất kỳ ai có những khóa đó có thể giả mạo dịch vụ của bạn; mất chúng và địa chỉ biến mất mãi mãi.
Bước 3 — Lấy địa chỉ .onion và kiểm tra
Tor ghi địa chỉ vào tệp có tên hostname bên trong HiddenServiceDir. Đọc nó bằng cat và bạn sẽ thấy địa chỉ 56 ký tự kết thúc bằng .onion — đó là địa chỉ công khai của dịch vụ.
Mở Tor Browser trên máy tính của bạn, dán địa chỉ và tải. Dịch vụ web chỉ hoạt động trên localhost sẽ hiện ra, được phục vụ hoàn toàn qua Tor. Kết nối đầu tiên có thể mất vài giây trong khi Tor xây dựng mạch. Vậy là xong — dịch vụ đang hoạt động, bất kỳ ai có Tor đều có thể truy cập, và vị trí server ẩn với mọi người dùng.
Bước 4 — Khóa chặt để giữ ẩn danh
Dịch vụ onion hoạt động không tự động là dịch vụ ẩn danh. Giao thức ẩn vị trí server khỏi người dùng — nhưng nhiều sai lầm có thể phá vỡ điều đó. Kỷ luật giữ cho nó ẩn danh:
- Bind mọi thứ vào localhost. Kiểm tra lại rằng web server, và mọi cơ sở dữ liệu hay backend, chỉ lắng nghe trên
127.0.0.1. Dịch vụ vô tình bị lộ trên IP công khai có thể bị đối chiếu với trang onion và làm mất ẩn danh. - Xóa nội dung nhận dạng. Banner server, trang lỗi mặc định, script phân tích, và metadata trong tệp đều có thể lộ server thực hay liên kết nó với các trang khác. Kiểm tra những gì dịch vụ thực sự gửi đi.
- Quản trị ẩn danh. Truy cập server để quản trị qua Tor cũng vậy — không bao giờ SSH trực tiếp từ IP nhà của bạn. Dịch vụ onion ẩn server; đừng phá vỡ điều đó bằng kết nối của chính bạn.
- Giữ server ẩn danh. Đây là lý do VPS offshore không KYC quan trọng: nếu dịch vụ bị đối chiếu với nhà cung cấp của nó bất chấp các biện pháp phòng ngừa, nhà cung cấp nên là nhà cung cấp không giữ danh tính cho tài khoản và không lưu log. Dịch vụ ẩn và server ẩn danh củng cố lẫn nhau.
- Vô hiệu hóa mọi thứ kết nối ra ngoài. Phần mềm thực hiện kết nối ra ngoài — pingback cập nhật, font ngoại tuyến, API bên thứ ba — có thể lộ server. Giữ dịch vụ tự cung tự cấp.
Dịch vụ ẩn, clearnet, hay cả hai
Bạn không phải chọn dứt khoát. Có ba cấu hình hợp lý. Trang chỉ dịch vụ ẩn là riêng tư nhất — hoàn toàn không có dấu vết clearnet, lý tưởng cho đường dây tư vấn hay dịch vụ không được phép xác định vị trí. Trang clearnet với bản sao onion phục vụ khán giả thông thường bình thường trong khi cung cấp lộ trình kháng kiểm duyệt, riêng tư cho những ai muốn — đây là điều các tổ chức tin tức lớn làm. Và trang chỉ clearnet, được đề cập trong hướng dẫn hosting website ẩn danh của chúng tôi, đơn giản hơn khi sự riêng tư về vị trí ở cấp độ giao thức không bắt buộc.
Để đạt ẩn danh mạnh nhất, dịch vụ ẩn duy nhất trên VPS offshore không KYC là câu trả lời: server không có danh tính đính kèm, dịch vụ không có IP để tìm, và toàn bộ có thể truy cập bởi bất kỳ ai có Tor và không ai xác định được vị trí. Thiết lập với kỷ luật trên, đây là hosting thực sự ẩn danh — không phải là tuyên bố marketing, mà là một đặc tính của giao thức.