Maskot beruang kutub NordBastion dalam observatorium kriptografi batu Nordik dengan simbol Tor berbentuk bawang ungu tua besar melayang di depannya dan hujan kode matriks hijau siber jatuh di sekitar lapisan-lapisan

Panduan · Self-host·10 menit membaca · 20 menit praktik

Host layanan tersembunyi Tor v3 secara mandiri.
Dua puluh menit ke .onion milik Anda sendiri.

Lima langkah dari penyediaan VPS hingga alamat onion v3 56 karakter yang aktif yang hanya dapat dicapai melalui jaringan Tor. Diuji pada Debian 12 dengan repositori Tor Project resmi.

Lima langkah

01
Sediakan
VPS Nordic
02
Pasang
Paket Tor resmi
03
Konfigurasi
Dua baris di torrc
04
Dapatkan alamat
cat .../hostname
05
Perkuat keamanan
Izin + isolasi

Langkah 01 · Provisi

Benteng Nordic mana pun berfungsi. Tor yang mengurus geografinya.

Berbeda dengan situs clearnet, layanan tersembunyi sebenarnya tidak peduli di bastion fisik mana ia berada — klien menjangkau Anda melalui tiga relai Tor, sehingga latensi ke bastion tidak terlalu memengaruhi pengalaman pengguna. Pilih bastion mana pun yang memiliki beban kerja lain, atau yurisdiksi mana pun yang paling cocok dengan model ancaman Anda (lihat /guides/nordic-jurisdictions-for-privacy-hosting/).

Tier Sentinel ($5.90/bulan) sudah cukup untuk layanan tersembunyi yang menampung situs pribadi, endpoint SSH ramah Tor, atau cermin onion Mastodon kecil. Layanan tersembunyi yang lebih besar (instans utama Mastodon, berbagi berkas, dll.) membutuhkan Garrison atau Ravelin untuk RAM dan disk tambahan.

Langkah 02 · Pasang

Repositori resmi Tor Project, bukan paket distribusi.

Tor yang dikemas dalam distribusi sering kali tertinggal bulan dari hulu dan mungkin melewatkan perbaikan keamanan. Gunakan repositori apt milik Tor Project sendiri:

apt install -y apt-transport-https gpg curl
curl -fsSL https://deb.torproject.org/torproject.org/A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89.asc \
  | gpg --dearmor -o /usr/share/keyrings/tor-archive-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/tor-archive-keyring.gpg] \
  https://deb.torproject.org/torproject.org bookworm main" \
  > /etc/apt/sources.list.d/tor.list
apt update
apt install -y tor deb.torproject.org-keyring

Verifikasi daemon masih berjalan: systemctl status tor — seharusnya melaporkan Active (running). Konfigurasi default tidak membuka port masuk dan menjalankan Tor sebagai klien relai saja; kita akan mengubahnya menjadi layanan tersembunyi di langkah berikutnya.

Langkah 03 · Konfigurasi

Dua baris di torrc. Hanya itu.

Buka /etc/tor/torrc dan tambahkan:

HiddenServiceDir /var/lib/tor/my_service/
HiddenServicePort 80 127.0.0.1:80

Dua hal yang perlu diketahui. (1) HiddenServiceDir adalah tempat Tor menyimpan kunci privat layanan (rahasia yang mendefinisikan alamat .onion). Tor membuat direktori pada awal pertama; jangan edit isinya. (2) HiddenServicePort memetakan port publik di onion ke port lokal — di sini, port 80 di onion menuju ke 127.0.0.1:80 (nginx, Apache, apa pun yang mendengarkan secara lokal). Tambahkan lebih banyak baris HiddenServicePort untuk port tambahan (HTTPS di 443, SSH di 22, dll.).

Apa pun yang Anda ikat ke target lokal (nginx, sshd, gitea), pastikan ia mendengarkan di 127.0.0.1 — bukan di 0.0.0.0. Layanan yang terikat ke 0.0.0.0 juga dapat dijangkau di IP publik, yang mengalahkan premis hanya-layanan-tersembunyi.

Langkah 04 · Dapatkan alamat

Mulai ulang Tor. Baca berkas hostname.

Mulai ulang Tor dan Tor akan menghasilkan pasangan kunci v3 beserta alamatnya:

systemctl restart tor
cat /var/lib/tor/my_service/hostname
# example output:
# 7f43hp...long-string...7q.onion

String base32 56 karakter yang diakhiri dengan .onion adalah alamat layanan tersembunyi Anda. Ini diturunkan dari kunci publik Ed25519 di /var/lib/tor/my_service/hs_ed25519_public_key. Siapa pun yang memiliki alamat tersebut dapat menjangkau layanan melalui Tor Browser (atau klien yang mendukung Tor). Uji: buka Tor Browser, tempelkan alamatnya, tekan enter — layanan web Anda seharusnya merespons.

Cadangkan isi /var/lib/tor/my_service/ ke tempat yang aman. Kehilangan kunci berarti kehilangan alamat .onion — tidak dapat dipulihkan. Berbagi kunci berarti siapa pun yang memilikinya dapat menjalankan .onion yang sama dari server mana pun.

Langkah 05 · Keraskan

Izin, isolasi, penghapusan banner. Bagian yang membosankan tapi kritis.

1. Verifikasi bahwa layanan berjalan sebagai pengguna debian-tor, bukan root. apt install menangani ini di Debian/Ubuntu. Verifikasi: ps aux | grep tor — uid tidak boleh 0.

2. Kunci kuncinya. chmod 700 /var/lib/tor/my_service/ — hanya debian-tor yang dapat membaca. Tor menolak untuk memulai jika direktori dapat dibaca semua orang.

3. Hapus banner server. nginx: server_tokens off; dalam konteks http. Apache: ServerTokens Prod, ServerSignature Off. Aplikasi web: hapus X-Powered-By, atur Server: kosong jika proksi terbalik Anda mengizinkannya. Tujuannya adalah respons HTTP dari .onion tidak membocorkan IP atau hostname.

4. Nonaktifkan kebocoran DNS keluar. Aplikasi web Anda tidak boleh me-resolve nama domain eksternal saat diminta, atau kueri DNS tersebut meninggalkan VPS melalui clearnet. Atur aplikasi untuk menggunakan proksi SOCKS Tor untuk panggilan keluar (127.0.0.1:9050).

5. Atur Onion-Location di situs clearnet Anda. Tambahkan header ini ke konfigurasi nginx clearnet Anda: add_header Onion-Location http://<your-onion>.onion$request_uri; — pengguna Tor Browser kini mendapat permintaan untuk dialihkan ke onion secara otomatis.

FAQ · Tor

Pertanyaan, dijawab.

Delapan pertanyaan yang diajukan operator layanan tersembunyi pertama kali.

Apa itu alamat onion v3 dan apa bedanya dari v2?

Alamat onion v3 adalah string base32 56 karakter yang berakhiran .onion, diturunkan dari kunci publik Ed25519. v2 (sudah usang dan dinonaktifkan oleh Tor sejak 2021) menggunakan base32 16 karakter dari kunci RSA-1024 yang dipotong — pendek, tetapi jauh lebih lemah secara kriptografis. v3 memiliki kunci yang lebih kuat (Ed25519), privasi direktori yang lebih baik (tidak ada enumerasi layanan), dukungan otorisasi klien, dan merupakan satu-satunya versi yang masih beroperasi. Jika Anda melihat alamat .onion 16 karakter, alamat itu sudah mati.

Apakah layanan tersembunyi Tor membocorkan IP server saya?

Konfigurasi yang benar tidak mengungkapkan IP. Tor terhubung keluar dari VPS Anda ke tiga relay Tor (penjaga, tengah, titik pertemuan) dan tidak pernah menerima koneksi masuk langsung pada IP VPS. Layanan tersembunyi hanya dapat dicapai melalui sirkuit Tor. Konfigurasi yang salah yang MEMANG membocorkan IP: menjalankan layanan di port publik (seharusnya terikat ke 127.0.0.1), kebocoran DNS dari aplikasi web yang dihosting, perangkat lunak server yang menstempel IP ke dalam respons keluar. Daftar periksa standar di bawah ini mencakup masing-masing.

Bisakah penyedia VPS saya melihat apa yang ada di layanan tersembunyi?

Penyedia VPS Anda melihat lalu lintas Tor keluar dari VPS Anda — mereka tahu "server ini menjalankan Tor" tetapi bukan konten apa yang dicapai. Mereka tidak dapat melihat apa yang ada di layanan tersembunyi dari luar; mereka dapat melihat apa yang ada di disk dari dalam, seperti penyedia VPS mana pun. NordBastion tidak mengakses disk pelanggan, tetapi server yang tidak Anda kendalikan dengan enkripsi disk penuh adalah server yang secara teoritis dapat dibaca operator. Untuk privasi layanan tersembunyi mutlak, jalankan LUKS dengan frasa sandi yang hanya Anda miliki — Servury mengemas itu di luar kotak pada perangkat keras milik sendiri, yang lain (termasuk NordBastion) membiarkannya sebagai sesuatu yang dapat dipasang pelanggan.

Bagaimana cara mendapatkan alamat .onion vanity (misalnya yang dimulai dengan nama merek saya)?

Gunakan mkp224o — alat sumber terbuka yang memaksa pasangan kunci Ed25519 secara brute-force hingga alamat v3 yang dihasilkan dimulai dengan awalan yang dipilih. Awalan 4 karakter ditemukan dalam hitungan menit di laptop modern; awalan 7 karakter membutuhkan beberapa jam; 10+ karakter membutuhkan berminggu-minggu hingga berbulan-bulan di perangkat keras khusus. Alamat onion yang dihasilkan valid secara kriptografis — brute-force hanya menemukan kunci yang bagian publik ter-hash-nya kebetulan dimulai dengan karakter yang diinginkan.

Seberapa cepat layanan tersembunyi itu?

Lebih lambat dari clearnet. Tor merutekan melalui tiga relai, sehingga setiap perjalanan bolak-balik menambah ~300-800ms latensi. Throughput dibatasi oleh relai paling lambat dalam sirkuit yang dipilih; harapkan 1-5 MB/s rata-rata untuk konten statis, lebih rendah untuk beban kerja interaktif. Tor memperkenalkan optimasi "bandwidth HSDir" dan HiddenServiceSingleHopMode untuk kasus di mana anonimitas sisi layanan tidak diperlukan.

Apakah saya harus menggunakan HiddenServiceSingleHopMode?

Hanya jika model ancaman Anda menerima bahwa sisi LAYANAN diketahui publik (misalnya, Anda sudah mempublikasikan "onion ini berjalan di server saya di Islandia"). Mode satu-hop melewati relay penjaga+tengah di sisi layanan dan terhubung langsung ke titik pertemuan, yang lebih cepat (200-400ms lebih sedikit latensi) tetapi tidak melindungi IP sisi layanan. Klien masih mendapatkan privasi tiga-hop penuh di sisi mereka. Untuk layanan tersembunyi yang membutuhkan anonimitas sisi server, biarkan dinonaktifkan (default).

Bisakah saya menjalankan layanan tersembunyi di VPS yang sama dengan situs clearnet saya?

Ya, dan banyak situs melakukannya. Server web clearnet mendengarkan di IP publik pada port 80/443; layanan tersembunyi Tor menunjuk ke server web yang sama di 127.0.0.1 pada port yang sama. Keduanya menjangkau konten yang sama. Dua catatan operasional: (1) pastikan server web tidak menstempel IP publik ke header (Server, X-Real-IP, banner hostname), dan (2) atur header HTTP Onion-Location di situs clearnet sehingga pengguna Tor Browser dialihkan secara otomatis ke alamat onion.

Apa itu Vanguards / Vanguards-lite?

Pengaya Tor (Vanguards) yang menetapkan relay penjaga di sisi layanan, mengurangi kelas serangan di mana penyerang mengamati penjaga mana yang dirotasi layanan dan menggunakannya untuk deanonimisasi. Vanguards-lite telah tertanam dalam daemon Tor sejak 0.4.7 dan diaktifkan secara default untuk layanan tersembunyi di versi Tor saat ini — Anda umumnya tidak perlu melakukan apa pun untuk mendapat manfaatnya. Pengaya Vanguards penuh berlebihan untuk sebagian besar layanan tersembunyi pribadi dan berguna terutama untuk target bernilai tinggi.

Siap