Статья Двухсерверная SOCKS-цепочка с Tor и stunnel для анонимного трафика

[devqp]

Конфигурация двухсерверной SOCKS-цепочки с двойным шифрованием через Tor и stunnel. Требуются два сервера: Server1 (x.x.x.x) и Server2 (y.y.y.y).

Server1:
1. Установка ПО:

apt-get install tor stunnel4 openssl

2. Генерация SSL-сертификата:

openssl genrsa -out key.pem 2048
openssl req -new -x509 -key key.pem -out cert.pem -days 1095
cat key.pem cert.pem >> /etc/stunnel/stunnel.pem

3. Конфиг /etc/stunnel/stunnel.conf:

cafile = /etc/stunnel/stunnel.pem
cert = /etc/stunnel/stunnel.pem
client = yes
socket = l:TCP_NODELAY=1
socket = r:TCP_NODELAY=1
verify = 2
debug = 7
output = /stunnel.log
[ssh]
accept = 127.0.0.1:333
connect = ОНИОН_АДРЕС:444

Примечание: ОНИОН_АДРЕС - сгенерированный .onion домен Server2.
4. Активация stunnel:

echo ENABLED=1 > /etc/default/stunnel4
systemctl restart stunnel4

5. Конфиг /etc/tor/torrc:

SocksPort 0
OnionTrafficOnly
TransPort 9444
RunAsDaemon 1
VirtualAddrNetworkIPv4 10.192.0.0/10
SocksPolicy accept *
SocksPolicy reject6 *
ExitPolicy reject *:*
AutomapHostsOnResolve 1
DNSPort 53
DNSListenAddress 127.0.0.1

6. Настройка сети:

sysctl -w net.ipv4.conf.eth0.route_localnet=1
sysctl -w net.ipv4.ip_forward=1
echo 'net.ipv4.conf.ens0.route_localnet=1' >> /etc/sysctl.conf
echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf

7. Правила iptables:

iptables -t nat -A PREROUTING -p tcp --dport 222 -j DNAT --to-destination 127.0.0.1:333
iptables -t nat -A OUTPUT -p tcp --dport 444 -j REDIRECT --to-ports 9100

8. DNS-конфиг:

echo 'nameserver 127.0.0.1' > /etc/resolv.conf

Server2:
1. Установка ПО:

apt-get install tor stunnel4 openssl

2. Конфиг /etc/stunnel/stunnel.conf:

cafile = /etc/stunnel/stunnel.pem
cert = /etc/stunnel/stunnel.pem
socket = l:TCP_NODELAY=1
socket = r:TCP_NODELAY=1
verify = 2
output = /var/log/stunnel4/stunnel4.log
[ssh]
accept = 444
connect = 127.0.0.1:9050

3. Активация stunnel:

echo ENABLED=1 > /etc/default/stunnel4
systemctl restart stunnel4

4. Конфиг /etc/tor/torrc:

SocksPort 9050
RunAsDaemon 1
VirtualAddrNetworkIPv4 10.192.0.0/10
SocksPolicy accept 127.0.0.1
SocksPolicy reject *
ExitPolicy reject *:*
AutomapHostsOnResolve 1
DNSPort 53
DNSListenAddress 127.0.0.1
HiddenServiceDir /var/lib/tor/optik
HiddenServicePort 444 127.0.0.1:444

5. Настройка скрытого сервиса:

chmod 700 /var/lib/tor/optik
sysctl -w net.ipv4.ip_forward=1
echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf

6. Получение .onion-адреса:

cat /var/lib/tor/optik/hostname

Завершение:
• Перезапустите службы tor и stunnel на обоих серверах
• Входная точка: порт 222 на Server1 (x.x.x.x)
• Цепочка поддерживает проксирование OpenVPN и расширяется

Важно: Конфигурация обеспечивает базовую анонимизацию, но не заменяет комплексные меры безопасности. Уязвимости в сети и приложениях могут компрометировать систему.