Tự vận hành website trên Dark Web: Thiết lập dịch vụ ẩn với Tor

Một lập trình viên đã chia sẻ chi tiết cách đưa website cá nhân của mình lên mạng Tor dưới dạng dịch vụ ẩn (hidden service) với địa chỉ .onion. Điểm đáng chú ý là toàn bộ quá trình này không cần chứng chỉ TLS, không cần DNS, và không để lộ địa chỉ IP của máy chủ.

Cách làm này mở ra một hướng tiếp cận thú vị cho những ai quan tâm đến quyền riêng tư, tự vận hành hạ tầng, hoặc đơn giản là muốn website của mình tiếp cận được trong những môi trường bị kiểm duyệt gắt gao.

Dịch vụ ẩn hoạt động như thế nào?

Theo tác giả, website hiện có thể truy cập qua Tor tại một địa chỉ .onion chỉ phân giải được bên trong mạng Tor. Người dùng cần mở bằng Tor Browser để truy cập.

Khác với web thông thường, dịch vụ ẩn không dựa vào:

• Cơ quan cấp chứng chỉ (CA) — không có chứng chỉ TLS nào được ký
• Hệ thống DNS — địa chỉ được suy ra trực tiếp từ khóa công khai
• Địa chỉ IP công khai — không có IP nào bị lộ ra ngoài

Thay vào đó, kết nối được mã hóa đầu cuối (end-to-end) bởi chính Tor. Các relay của Tor chuyển tiếp và mã hóa lưu lượng qua hàng nghìn máy chủ do tình nguyện viên vận hành, khiến không một bên nào có thể liên kết danh tính người dùng với hành vi của họ. Dịch vụ ẩn mở rộng tính ẩn danh đó cho cả phía máy chủ.

Mạng Tor được phát triển bởi tổ chức phi lợi nhuận Tor Project, nhằm thúc đẩy quyền con người và tự do thông qua phần mềm tự do và mạng mở.

Tác giả cũng nhắc nhở rằng mạng Tor chỉ hoạt động được nhờ người dùng tham gia, và khuyến khích độc giả cân nhắc ủng hộ dự án hoặc tự vận hành một relay.

Cấu hình Tor để trỏ dịch vụ ẩn vào cổng nội bộ

Bước đầu tiên là cài đặt Tor và trỏ một dịch vụ ẩn vào cổng cục bộ. Trong tệp /etc/tor/torrc, cần thêm hai dòng:

HiddenServiceDir /var/lib/tor/blog/
HiddenServicePort 80 127.0.0.1:8080

Có một điểm quan trọng cần lưu ý: thư mục dịch vụ ẩn phải là một đường dẫn riêng biệt do Tor sở hữu, không phải thư mục gốc của website. Tor lưu khóa riêng và tệp hostname tại đây, đồng thời yêu cầu quyền sở hữu tuyệt đối (chmod 700, người dùng debian-tor). Nếu trỏ thư mục này vào thư mục chứa website, Tor sẽ từ chối khởi động.

Sau khi khởi động lại Tor, địa chỉ .onion sẽ được sinh ra:

$ sudo systemctl restart tor@default
$ sudo cat /var/lib/tor/blog/hostname
dhevt6e4rtgbtr3jh53xrpwmgtilkah6nyjujocsspssrsexc7omxhid.onion

Phục vụ website qua nginx

Vì Tor chuyển tiếp cổng 80 của địa chỉ onion tới 127.0.0.1:8080, máy chủ web chỉ cần lắng nghe tại cổng đó. Tác giả thêm một server block cho nginx với một lưu ý quan trọng: không dùng TLS, không HTTP/2, không QUIC, bởi Tor giao tiếp qua TCP thuần và tự cung cấp lớp mã hóa của riêng nó.

server {
    listen 127.0.0.1:8080;
    server_name dhevt6e4rtgbtr3jh53xrpwmgtilkah6nyjujocsspssrsexc7omxhid.onion;
    root /srv/tor.david.alvarezrosa.com;
    index index.html;
    error_page 404 /404/index.html;
    location / {
        try_files $uri $uri/ =404;
    }
}

Sau khi tải lại nginx, website đã chính thức hoạt động trên Tor.

Xây dựng bản dành riêng cho mạng onion

Một vấn đề tinh tế nảy sinh với website tĩnh: công cụ xây dựng thường nhúng URL cơ sở (base URL) vào các liên kết tuyệt đối. Nếu chỉ xây dựng một bản clearnet duy nhất, khách truy cập qua Tor vẫn sẽ bị dẫn ngược về tên miền clearnet.

Giải pháp là xây dựng thêm một bản sao với địa chỉ onion làm URL cơ sở:

$ hugo --minify --baseURL="http://dhevt6e4rtgbtr3jh53xrpwmgtilkah6nyjujocsspssrsexc7omxhid.onion/"

Quy trình triển khai tự động hóa việc này: mỗi lần đẩy mã nguồn, hệ thống xây dựng website một lần cho mỗi mục tiêu — clearnet và Tor — rồi đồng bộ riêng từng bản vào thư mục web tương ứng. Nhờ vậy, hai phiên bản luôn đồng bộ mà không cần thao tác thủ công.

Ý nghĩa với người dùng Việt Nam

Với độc giả Việt Nam, kỹ thuật này đáng quan tâm ở vài khía cạnh:

• Tự vận hành hạ tầng riêng ngày càng phổ biến trong cộng đồng yêu thích homelab, giúp hiểu sâu hơn về cách mạng máy tính vận hành
• Bảo vệ quyền riêng tư — dịch vụ ẩn che giấu cả danh tính máy chủ lẫn người truy cập, phù hợp cho các dự án đề cao tính ẩn danh
• Kỹ năng DevOps thực tế — việc cấu hình Tor, nginx và pipeline triển khai song song là bài học quý về tự động hóa và quản lý cấu hình

Toàn bộ cấu hình được tác giả lưu trong kho lưu trữ homelab cá nhân, còn quy trình xây dựng và triển khai bản Tor nằm trong GitHub Actions của chính website.