Статья Безопасная настройка onion-сайта v3 с блокировкой сканеров и защитой бэкенда

[devqp]

В этом руководстве описывается базовая настройка защищенного onion-сайта версии 3 на Ubuntu 20.04 LTS с использованием Nginx и Tor, включая конфигурацию брандмауэра для блокировки сканеров и предотвращения доступа к бэкенду из клирнета.

1. Установка Tor и Nginx
Выполните установку пакетов:

sudo apt install nginx -y && sudo apt install tor

Проверьте корректность установки:

nginx -v
tor -h

2. Настройка Tor и включение скрытого сервиса
Отредактируйте файл конфигурации:

nano /etc/tor/torrc

Раскомментируйте строки:

HiddenServiceDir /var/lib/tor/hidden_service/
HiddenServicePort 80 127.0.0.1:80

Примените изменения:

sudo systemctl reload tor

3. Получение адреса onion-сайта
Ключи и hostname находятся в директории

/var/lib/tor/hidden_service/

. Сохраните эти файлы. Адрес сайта указан в файле

hostname

(пример: ndfje3vt4a4twk22vjsk2y63dojimexjaqepu4vvirg7hzeukjw7n4id.onion). Сайт доступен через Tor Browser по этому адресу.

4. Настройка безопасности и брандмауэра
Разрешите доступ только с выходных узлов Tor:

curl -s https://check.torproject.org/torbulkexitlist | awk '{print "sudo ufw allow from " $1 " to any port 80"}' | sudo bash

Активируйте UFW и настройте правила:

sudo ufw enable
sudo ufw allow ssh
sudo ufw deny 80
sudo ufw status

Итог: Бэкенд сервера недоступен из клирнета, сканеры вроде Censys/Shodan не могут обнаружить сервер. Это базовая конфигурация, обеспечивающая начальный уровень защиты.