VI sitter just nu i kontraktsdispyt med leverantör här, kan inte gå in
djupare på vad det gäller förrän saken blir lite mindre argumenterat.
Kortfattat kan jag dock säga att om ni ska köra Tor-relän eller Exit-noder
_måste_ ni läsa det finstilta noggrant.
Det finns en stor chans att bli utpressad för att teckna andra sorters
kontrakt ("köp det här dyrare avtalet på tre års tid så försvinner
problemet") om man använder sin bandbredd på det här sättet.
Annars så finns det ett par läxor att ha som de flesta kommer från nivån
"sunt förnuft" /netsec.
Frontendbrandvägg bör isolera Tor-noden och relät från inkommande trafik på
andra portar. SSH-bruteforce och diverse portscanning/tjänsteprobning blir
_mycket_ vanligare på tor-exit relän.
Vi löser det med en "inloggnings-gateway" som man har som admin-terminal,
som bara accepterar SSH-nycklar, för att gå från den till andra maskiner på
nätverket, samt en brandvägg som isolerar SSH mellan maskiner som inte går
genom denna.
Tor (exit)noden bör (måste?) finnas i sitt eget nätverkssegment. Det är
enkelt att styra all sin trafik till en viss nod, och sedan portscanna det
lokala lanet där. Egen brandväggs-zon som inte gör att den verkar vara på
samma nivå som andra maskiner i nätverket.
Samma sak med era IDS (Intrusion Detection System, Snort mfl. ). Ingående
trafik till tor, och från tor-relän, kan ses som helt okej, dock spelar
exit-policy och IDS dåligt tillsammans.
Om ni tänkte köra tung trafik i era tor-noder ( >10Mbit ) så bör ni
investera tiden i att göra benchmarking för att se till så ni inte
överbelastar någon form av hårdvara. Tor-trafik tar lång tid på sig att gå
upp i hastighet, och bra tester där kommer att rädda er från intressanta
och svårdiagnosticerbara problem.
Kör ni tyngre trafik i era noder bör ni se till så att utgående trafik från
en tor exit-nod inte filtreras genom er brandvägg. All form av DPI och
connection tracking där kan vara rätt tungt för er hårdvara.
Exit policy och Abuse kontakt på er tor-exit-notice är bra att ha.
Se samtidigt till så ni har ett Fax-nummer listat på er abuse och kontakt.
Inte en telefon. Många advokatfirmor och internationella organisationer
tycker om fax. Fax->Epost tjänster finns och fungerar. Det är också mycket
lättare att hantera Fax på "bra tid" än irriterande telefonsamtal.
Kör ni detta som organisation, se till så det finns en klar policy för
vem/vilka som ansvarar för att vittja abuse-mailen, och hur man hanterar
sådana kontakter. Att abuse mail går till en oläst maillåda ( som
postmaster, root@ mfl.) är inte en bra idé.
Jag tror det var allt här.
//D.S.
2012/8/13 Linus Nordberg <li...@nordberg.se>
> Hej listan!
>
> Jag skickade just ut ett mejl [1] till de operatörer av Tor-relän som
> verkar köra ett relä på en svensk IP-adress och som har sin kontakt-info
> satt till något som ser ut som en epost-adress.
>
> Vi hoppas att få kontakt med några fler Tor-operatörer för att samla mer
> kunskap om hur det är att driva relän i Sverige. Vi får se om det leder
> till något.
>
> Brevet gick ut till 85 adresser. Om ni känner någon som borde fått
> mejlet men inte fått det, skicka gärna länken till vederbörande.
>
> [1] https://www.dfri.se/kontakt-tor-operatorer/
>
>
>
