Статья Настройка двухузлового анонимного SOCKS через Tor и stunnel

[devqp]

Пошаговая инструкция по настройке двухсерверной SOCKS-цепочки с шифрованием трафика через Tor и stunnel.

Server1 (внешний узел):
Установка ПО:

apt-get install tor stunnel4 openssl

Генерация сертификатов:

openssl genrsa -out key.pem 2048
openssl req -new -x509 -key key.pem -out cert.pem -days 1095
cat key.pem cert.pem >> /etc/stunnel/stunnel.pem

Конфигурация stunnel (/etc/stunnel/stunnel.conf):

cafile = /etc/stunnel/stunnel.pem
cert = /etc/stunnel/stunnel.pem
client = yes
socket = l:TCP_NODELAY=1
socket = r:TCP_NODELAY=1
verify = 2
debug = 7
output = /stunnel.log
[ssh]
accept = 127.0.0.1:333
connect = xgofmxbgfjq5ngpuoo5oe3cwic4dbg454ofic3scwna5luah4bpet2qd.onion:444

Активация stunnel:

echo ENABLED=1 > /etc/default/stunnel4
systemctl restart stunnel4

Конфигурация Tor (/etc/tor/torrc):

SocksPort 0 OnionTrafficOnly
TransPort 9444
RunAsDaemon 1
VirtualAddrNetworkIPv4 10.192.0.0/10
SocksPolicy accept *
SocksPolicy reject *
SocksPolicy reject6 *
ExitPolicy reject *:*
ExitPolicy reject6 *:*
AutomapHostsOnResolve 1
DNSPort 53
DNSListenAddress 127.0.0.1

Сетевые настройки:

sysctl -w net.ipv4.conf.eth0.route_localnet=1
sysctl -w net.ipv4.ip_forward=1
echo 'net.ipv4.conf.ens0.route_localnet=1' >> /etc/sysctl.conf
echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf

iptables -t nat -A PREROUTING -p tcp --dport 222 -j DNAT --to-destination 127.0.0.1:333
iptables -t nat -A OUTPUT -p tcp --dport 444 -j REDIRECT --to-ports 9100

echo 'nameserver 127.0.0.1' > /etc/resolv.conf

Server2 (внутренний узел):
Установка ПО:

apt-get install tor stunnel4 openssl

Конфигурация stunnel (/etc/stunnel/stunnel.conf):

cafile = /etc/stunnel/stunnel.pem
cert = /etc/stunnel/stunnel.pem
socket = l:TCP_NODELAY=1
socket = r:TCP_NODELAY=1
verify = 2
debug = 7
output = /var/log/stunnel4/stunnel4.log
[ssh]
accept = 444
connect = 127.0.0.1:9050

Активация stunnel:

echo ENABLED=1 > /etc/default/stunnel4
systemctl restart stunnel4

Конфигурация Tor (/etc/tor/torrc):

SocksPort 9050
RunAsDaemon 1
VirtualAddrNetworkIPv4 10.192.0.0/10
SocksPolicy accept 127.0.0.1
SocksPolicy reject *
SocksPolicy reject6 *
ExitPolicy reject *:*
ExitPolicy reject6 *:*
AutomapHostsOnResolve 1
DNSPort 53
DNSListenAddress 127.0.0.1
HiddenServiceDir /var/lib/tor/optik
HiddenServicePort 444 127.0.0.1:444

Инициализация скрытого сервиса:

chmod 700 /var/lib/tor/optik
systemctl restart tor
cat /var/lib/tor/optik/hostname

Сетевая настройка:

sysctl -w net.ipv4.ip_forward=1
echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf

Использование:
После настройки обоих серверов подключение осуществляется через порт 222 на Server1. Onion-адрес Server2 (из /var/lib/tor/optik/hostname) должен быть указан в stunnel.conf Server1.

Важно: Данная конфигурация обеспечивает базовую анонимизацию трафика, но не заменяет комплексные меры безопасности. Использование исключительно VPN/Tor/proxy не гарантирует защиту от уязвимостей и деанонимизации.