如何阻止所有流量* Tor除外？

在Linux系统上，除非通过Tor网络，否则有一种方法可以阻止所有入站和出站流量。这包括任何形式的IP通信，而不仅仅是TCP连接。例如，我希望UDP被完全阻止，因为它无法通过Tor。我希望该系统对Internet的使用完全是匿名的，并且我不希望任何应用程序泄漏。

我意识到这可能很复杂，因为Tor本身需要以某种方式与中继节点进行通信。

linux iptables tor

— 大卫
source

我

— 正要问

对于那些要投反对票的人，我想提醒您，Tor存在有效的业务用例。

— 迈克尔·汉普顿

使用iptables很容易。它可以具有与特定用户匹配的规则，并且您应该已经设置tor为在其自己的用户ID下运行；主要Linux发行版和Tor项目提供的deb和rpm软件包已经为Tor建立了用户。

完整的示例，可用的iptables和Tor配置如下。可以使用以下iptables-restore命令加载此防火墙。此配置的最终结果将透明地将源自主机或通过主机转发的所有流量路由到Tor，而无需配置代理。此配置应防泄漏；尽管您当然应该对其进行彻底的测试。

请注意，tor用户（此处为998）的uid 由iptables以数字形式存储。在此处显示的每个位置为您的tor用户替换正确的uid。

还请注意，在第一个规则中需要提供主机的IP地址，以支持直接寻址到主机的入站clearnet和LAN通信（此处显示为198.51.100.212）。如果您有多个IP地址，请对每个地址重复该规则。

*nat
:PREROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -d 198.51.100.212/32 -j RETURN
-A PREROUTING -p udp -m udp --dport 53 -j REDIRECT --to-ports 53
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j REDIRECT --to-ports 49151
-A OUTPUT -o lo -j RETURN
-A OUTPUT -m owner --uid-owner 998 -j RETURN
-A OUTPUT -p udp -m udp --dport 53 -j REDIRECT --to-ports 53
-A OUTPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j REDIRECT --to-ports 49151
COMMIT
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m tcp -d 127.0.0.1 --dport 22 -j ACCEPT
-A INPUT -j LOG --log-prefix "IPv4 REJECT INPUT: "
-A FORWARD -j LOG --log-prefix "IPv4 REJECT FORWARD: "
-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -d 127.0.0.1/32 -p udp -m udp --dport 53 -j ACCEPT
-A OUTPUT -d 127.0.0.1/32 -p tcp -m tcp --dport 49151 -j ACCEPT
-A OUTPUT -m owner --uid-owner 998 -m conntrack --ctstate NEW -j ACCEPT
-A OUTPUT -j LOG --log-prefix "IPv4 REJECT OUTPUT: "
COMMIT

ssh INPUT规则仅允许通过本地主机到达的连接（即Tor隐藏服务）进行连接。如果您还想允许通过clearnet的ssh输入连接，请删除-d 127.0.0.1。

对应的torrc文件是：

User toranon
SOCKSPort 9050
DNSPort 53
TransPort 49151
AutomapHostsOnResolve 1

此配置要求主机具有静态IP地址。对于预期的用例，您可能已经为它计划了一个静态IP地址。

最后，输出！

[root@unknown ~]# curl ifconfig.me
31.31.73.71
[root@unknown ~]# host 31.31.73.71
71.73.31.31.in-addr.arpa domain name pointer cronix.sk.
[root@unknown ~]# curl ifconfig.me
178.20.55.16
[root@unknown ~]# host 178.20.55.16
16.55.20.178.in-addr.arpa domain name pointer marcuse-1.nos-oignons.net.

— 迈克尔·汉普顿
source