Hướng dẫn chi tiết cách thiết lập nút thoát (Exit Node) cho mạng Tor

Mạng Tor nổi tiếng với khả năng bảo mật và ẩn danh, nhưng để hoạt động, hệ thống này cần đến các nút thoát (exit nodes) – điểm kết nối cuối cùng đưa dữ liệu ra internet công khai. Bài viết này sẽ hướng dẫn bạn từng bước cấu hình một nút thoát Tor trên Ubuntu, đồng thời phân tích những rủi ro và lưu ý quan trọng dành cho người vận hành.

Hiểu về nút thoát Tor và tại sao chúng khan hiếm

Khác với cầu nối (bridges), nút thoát (exit nodes) và các relay thông thường là những thiết bị công khai, có địa chỉ IP và cấu hình mà bất kỳ ai cũng có thể xem được. Chúng đóng vai trò thực hiện kết nối cuối cùng đến máy chủ đích thay cho người dùng ẩn danh.

Mạng Tor hiện đang thiếu hụt nghiêm trọng nút thoát, và điều này hoàn toàn có lý do. Vì là chặng cuối cùng trong chuỗi kết nối, chúng phải thực hiện hàng trăm kết nối ra ngoài đến bất kỳ trang web hoặc dịch vụ nào mà người dùng Tor yêu cầu. Điều này khiến nhà điều hành nút thoát dễ bị quy kết là "đang làm điều xấu" – trong khi thực tế, nút của họ chỉ đơn thuần tham gia vào một mạng lưới, giống như một bộ định tuyến truyền thống.

Cảnh báo quan trọng: Chạy nút thoát từ nhà riêng có thể gây nguy hiểm do bị ISP và cơ quan chức năng làm phiền. Mặc dù bạn không vi phạm pháp luật, nhưng bạn đang là điểm thoát cho lưu lượng Tor và không thể kiểm soát được hành vi của 2,5 triệu người dùng Tor trên toàn thế giới.

Sơ đồ vòng đời của nút Tor

Chuẩn bị hệ thống và cài đặt các gói cần thiết

Giả sử bạn có một máy Linux hoạt động, bài viết sử dụng Ubuntu 14.04 (Trusty) làm ví dụ. Bạn cũng cần đảm bảo máy nằm sau một bộ định tuyến NAT thông thường.

Đầu tiên, thêm kho lưu trữ Tor vào hệ thống:

echo 'deb http://deb.torproject.org/torproject.org trusty main' >> /etc/apt/sources.list
echo 'deb-src http://deb.torproject.org/torproject.org trusty main' >> /etc/apt/sources.list

Tiếp theo, cài đặt khóa GPG cho kho lưu trữ:

gpg --keyserver keys.gnupg.net --recv 886DDD89
gpg --export A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89 | sudo apt-key add -

Bây giờ cài đặt tor cùng các công cụ hỗ trợ:

apt-get update
apt-get install tor tor-arm vnstat vnstati nginx curl socat

Cấu hình Tor thành nút thoát

Sau khi cài đặt, Tor mặc định hoạt động như một máy khách (client). Cần thay đổi cấu hình để biến nó thành nút thoát. Thay thế nội dung của file /etc/tor/torrc bằng cấu hình relay cơ bản:

ORPort 127.0.0.1:9001 NoAdvertise
ORPort 443 NoListen
DirPort 9030
Nickname TorExit
RelayBandwidthRate 100 KB
RelayBandwidthBurst 100 KB
ContactInfo [email protected]
DisableDebuggerAttachment 0
ExitPolicy accept *:20-23     # FTP, SSH, telnet
...
ExitPolicy reject *:*

Một số điểm cần chỉnh sửa:

• ContactInfo: Thay địa chỉ email mặc định bằng email thực của bạn
• RelayBandwidthRate và RelayBandwidthBurst: Điều chỉnh theo tốc độ kết nối internet (giá trị 100 KB phù hợp cho ADSL thông thường)
• DirPort: Cho phép nút hoạt động như Directory Server – xóa dòng nếu không muốn

Thông tin chi tiết về nút thoát

Chuyển hướng cổng 443 bằng socat

Nút thoát hữu ích cần chạy trên cổng thường khả dụng cho mọi người dùng Tor – cổng 443 (HTTPS) là lựa chọn hợp lý. Tuy nhiên, Tor không chạy với quyền root nên không thể bind trực tiếp vào cổng 443. Giải pháp là bind vào cổng 9001 cục bộ và dùng socat để chuyển hướng:

/usr/bin/socat TCP-LISTEN:443,fork,su=nobody TCP:127.0.0.1:9001 &

Để đảm bảo socat tự động chạy sau khi khởi động lại, thêm vào crontab của root:

echo '@reboot /usr/bin/socat TCP-LISTEN:443,fork,su=nobody TCP:127.0.0.1:9001 &' >> /var/spool/cron/crontabs/root

Tạo trang thông tin về nút của bạn

Bạn nên tạo một trang web hiển thị thông tin về nút thoát để bất kỳ ai tra cứu địa chỉ IP của nút đều hiểu được mục đích hoạt động. Thay thế trang mặc định của nginx bằng trang giới thiệu nút thoát chính thức:

curl -o /usr/share/nginx/html/index.html https://madpsy.uk/wp-content/uploads/2015/11/tor-exit-node.txt
curl -o /usr/share/nginx/html/how_tor_works_thumb.png https://madpsy.uk/wp-content/uploads/2015/11/how_tor_works_thumb.png

Sau đó chỉnh sửa file /usr/share/nginx/html/index.html và thay địa chỉ email mặc định bằng email thực của bạn.

Ở cuối trang là biểu đồ băng thông được tạo bằng vnstat. Giả sử eth0 là interface internet của bạn, chạy lần đầu tiên:

/usr/bin/vnstati -i eth0 -vs -o /usr/share/nginx/html/vnstat.png

Thêm cron để cập nhật biểu đồ mỗi giờ:

echo '00 * * * * /usr/bin/vnstati -i eth0 -vs -o /usr/share/nginx/html/vnstat.png' >> /var/spool/cron/crontabs/root

Biểu đồ băng thông của nút

Chuyển tiếp cổng trên router

Bước cuối cùng là cấu hình chuyển tiếp cổng trên router để các cổng HTTP, Tor Relay và Tor Directory có thể truy cập từ internet. Cần chuyển tiếp TCP/80, TCP/443 và TCP/9030 đến địa chỉ IP cục bộ của nút Tor (ví dụ: 192.168.0.10).

Bạn có thể kiểm tra bằng cách truy cập vào địa chỉ IP công khai của mình từ trình duyệt – nếu thấy trang thông tin giống như trang nội bộ trước đó là thành công. Tor xử lý địa chỉ IP động rất tốt, không cần cấu hình hostname hoặc DNS phức tạp.

Khởi động lại và giám sát nút

Khởi động lại Tor để áp dụng cấu hình mới:

/etc/init.d/tor restart

Bạn có thể theo dõi hoạt động của nút bằng arm:

sudo -u debian-tor arm

Ở đầu màn hình sẽ hiển thị "fingerprint" – dãy ký tự như GH35AJCVH421742CCJFPQIUCB1835947B4399. Dùng fingerprint này để tra cứu thông tin chi tiết về nút của bạn trên Atlas hoặc tìm kiếm trực tiếp bằng địa chỉ IP công khai.

Lời khuyên khi chạy trên máy chủ riêng

Nếu chạy nút thoát trên VPS hoặc máy chủ riêng tại trung tâm dữ liệu (an toàn hơn nhiều so với chạy tại nhà), bạn nên:

• Thiết lập bản ghi DNS ngược (reverse DNS) để người khác tra cứu IP đều thấy trang thông tin của bạn
• Thông báo cho nhà cung cấp dịch vụ về mục đích sử dụng máy chủ – nếu họ hiểu biết, họ sẽ không bất ngờ khi nhận được khiếu nại
• Không nên báo cho ISP tại nhà – họ thường không hiểu hoặc coi đây là vi phạm điều khoản dịch vụ

Nút của bạn sẽ hoạt động như Entry Guard sau khoảng 70+ ngày để đạt được độ tin cậy hoàn toàn.

Tài liệu tham khảo quan trọng: Để biết thêm thông tin về cách vận hành nút thoát Tor an toàn, hãy tham khảo bài viết blog này.