Tor Gateway – Raspberry Pi zum anonymen surfen verwenden

Oft ist anonymes Surfen von Vorteil, zum einen möchte man nicht unbedingt immer alles über sich preis geben, zum anderen ermöglicht ein Tor Gateway Gästen anonymen Zugang ins Netz. Ein oft genutztes Anwendungsbeispiel ist das Umgehen der Steam Länder-sperre zum aktivieren von PC-Spielen die eigentlich für Deutschland oder andere Länder gesperrt wurden.

In diesem Tutorial zeige ich euch wie auf Basis des Raspberry Pi ein WiFi Tor-Gateway, auf auch als Onion Pi bezeichnet, selbst aufbauen könnt.

Tor oder auch The Onion R outer ist eine kostenlose Software um online anonym unterwegs zu sein und um Internet-Zensur, zum Beispiel durch Regierungen, zu umgehen. Das Tor Netzwerk besteht aus freiwilligen die sich zu einem Netzwerk zusammengeschlossen haben, der Datenverkehr der Tor Benutzer wird über dieses Netzwerk geleitet um den Standort und die Aktivität des Benutzers zu verschleiern.

Um die Anonymität zu gewährleisten sendet der Tor-Client oder euer Tor Gateway euren gesamten Datenverkehr über das Tor Netzwerk, die Daten werden hierbei immer über mehrere Tor Knoten geleitet bis diese vom Letzten Knoten (auch Exit-Node genannt) an das Ziel weitergeleitet werden. Der Datenverkehr ist bis zur Exit Node verschlüsselt, wird dort entschlüsselt und an das eigentliche Ziel weitergegeben.

Wichtig!

Das alleinige verwenden von Tor über den Raspberry Pi garantiert keine Anonymität, wenn ihr anonym im Netz unterwegs sein möchtet solltet ihr euch auch so verhalten. Verwendet also keine Logins, Webseiten oder E-Mail Adressen die Rückschlüsse auf eure Identität zulassen. Benutzt zum Surfen am besten FireFox mit aktivierten AddOns welche das Anonyme Surfen unterstützen, das ist zum Beispiel das Plugin NoScript, Better Privacy und HTTPS Everywhere um Böse Identifikations-Scripte und Schnüffler an den Exit Nodes zu umgehen. Löscht nach einer Sitzung immer eure Browser Daten wie Cookies und Offline Daten, CCleaner unterstützt euch hierbei. Ihr solltet euch bewusst sein das Tor auch gerne von zwielichtigen Gestallten für Online Betrug (Fraud) verwendet wird, persönliches und kritisches sollte daher niemals bzw nicht ohne SSL-Verschlüsselung übertragen werden.

Tor Gateway – Raspberry Pi zum anonymen surfen verwenden – AnoPi

Da wir allen Datenverkehr über den Raspberry Pi ins Tor Netz leiten möchten benötigt unser Raspberry Pi zwei Netzwerkschnittstellen. Da nur eine Ethernet-Schnittstelle vorhanden ist wird die zweite Netzwerkschnittstelle via WLAN realisiert. Die LAN Seite ist quasi der Ausgang Richtung Tor Netzwerk (ins Internet) und die WLAN Seite ist Quasi euer Verbindungspunkt (WLAN Hotspot), also der Eingang für euren Rechner.

Benötigte Hardware

Einen Raspberry Pi
- Mit SD-Karte für das Betriebssystem (mindestens 4GB) - Für alle Modelle geeignet
- Ein Netzteil mit mindestens 1200mA und MicroUSB Anschluss
- Ein SD-Kartenleser um eure SD-Karte mit dem Betriebssystem zu bespielen (für Micro SD Adapter benötigt)
- Ein Gehäuse für den Raspberry Pi (B+) - Optional
Ein Ethernet Kabel um euren RasPi mit eurem DSL-Router zu verbinden
Einen WLAN Adapter als Zugangspunkt für euren Rechner (WiFi Hotspot)

Voraussetzung ist natürlich ein Internet-Anschluss und ein DSL-Router mit freiem LAN-Anschluss, ich verwende eine FritzBox.

Wir müssen, bevor wir auf unserem Raspberry Pi die Tor Software installieren einige Vorbereitungen treffen.

Bespielt eure SD-Karte mit dem aktuellsten Raspbian Image - Siehe Raspberry Pi Einsteiger Tutorial Teil 2
Verbindet euren Raspberry Pi via LAN-Kabel mit eurem Heimnetzwerk und richtet ihn ein - Siehe Raspberry Pi Einsteiger Tutorial Teil 3
Verbindet den WLAN Adapter via USB mit dem Raspberry Pi (noch nicht konfigurieren)

Tipp:
Falls ihr den Raspberry Pi ohne Monitor betreibt schaltet den HDMI-Anschluss ab, das spart zusätzlich Strom (tvservice -o).

Als erstes aktualisieren wir unser Betriebssystem und die Firmware wie immer via APT

Da wir unseren kleinen Computer direkt am Internet bzw. als Hotspot betreiben müsst ihr auf jeden Fall das Standard-Passwort des Benutzers Pi ändern, das erledigt folgender Befehl für uns. Nach Eingabe des alten Kennworts müsst ihr das neue eingeben und bestätigen.

WLAN und LAN Verbindung prüfen
DHCP-Server Software auf dem Raspberry Pi einrichten (das WLAN Geräte eine richtige IP-Adresse erhalten)
WLAN Adapter konfigurieren (IP-Adresse vergeben)
Die Access Point Software einrichten (Steuert die Konfiguration des WLAN Netzwerkes)
Netzwerk Routing einstellen (Daten aus dem WLAN ans Internet weiterleiten)
Hotspot testen

WLAN Hotspot einrichten

Als nächstes konfigurieren wir den WLAN-Stick als Hotspot um später unseren Rechnern und Gästen einen anonymen Zugang bereitstellen zu können. Die Einrichtung des Hotspot / Access Point verläuft in mehreren Schritten:

WLAN und LAN Verbindung prüfen

Ich verwende den Edimax Micro USB Stick mit Realtek Chipsatz, die notwendigen Treiber sind bereits in Raspbian enthalten sodass nur eine Konfiguration als Hotspot bzw. als WLAN Access Point notwendig ist. Um auf Nummer sicher zu gehen prüfen wir vorab noch kurz ob wir auch die aktuellste Treiber Version haben.

Wir prüfen noch ob der WLAN Stick tatsächlich auch richtig erkannt wurde.

An meinem Raspberry Pi tauchen nun drei Netzwerk-Interfaces auf, eth0 was unserem LAN-Anschluss am Router entspricht, lo für den Standard Loopback Adapter und wlan0 was mein USB WiFi Stick ist. Ich habe also meine beiden wichtigen Adapter, zum Einen eth0 für den Internetzugang mit automatischer Konfiguration via DHCP von meinem Internet Router und wlan0 welchen wir nun als WLAN Access Point einrichten.

DHCP-Server Software auf dem Raspberry Pi einrichten

Da wir Geräte, die sich mit dem WLAN Hotspot verbinden, nicht immer manuell mit den passenden IP-Adressen etc konfigurieren möchten installieren wir auf unserem Raspberry Pi einen DHCP-Server der mit dem WLAN verbundenen Geräten automatisch ihre Einstellungen übermittelt (isc-dhcp-server). Die Software hostap übernimmt für uns die Bereitstellung des Access Points auf dem Raspberry Pi.

Der DHCP-Server wird nicht direkt starten und ihr seht nach der Installation einen Fehler, das ist nicht weiter schlimm. Wir editieren die DHCP-Server Konfiguration mit dem Editor nano

Als erstes deaktivieren wir die Verteilung von DNS-Suffixes da wir diese nicht benötigen, wir kommentieren die Zeilen daher einfach durch voranstellen einer # aus. Bei mir sieht das Ergebnis so aus.

192.168.179.1

Google

Um zu bestimmen das dieser DHCP-Server der "Master" (authoritative) unseres Netzwerkes ist müssen wir diesen "Authorisieren" das erledigen wir durch entfernen der # vor authoritative. Bei mir sieht das Ergebnis wie folgt aus.

Nun fügen wir noch am Ende der Datei folgende Konfiguration hinzu um zu definieren welche IP-Adressen und Konfigurationen der DHCP-Server an die WLAN Clients sendet.

Wir speichern und beenden den Editor Nano, gespeichert wird bei Nano mit STRG+X, Y und Enter.

Es fehlt noch die Einstellung auf welcher Netzwerkschnittstelle der DHCP-Server die Konfiguration verteilen soll. Da wir einen Hotspot aufbauen ist das natürlich die SchSchnittstelle wlan0. Um die Einstellung vorzunehmen editieren wir die Datei isc-dhcp-server mit nano.

Inenrhalb der Datei ändern wir aus INTERFACES="" in INTERFACES="wlan0″ ab. Bei mir sieht das so aus.

Speichern und Beenden mit STRG+X, Y und Enter.

WLAN Adapter konfigurieren

Aus der Konfiguration des DHCP-Servers lassen sich nun die Netzwerkeinstellungen unseres WLAN Adapters ableiten. Wir haben das Netz 192.168.179.0 mit der Netzmaske 255.255.255.0 eingestellt und festgelegt das der Standard-Gateway auf der IP-Adresse 192.168.179.1 liegt. Folglich erhält unser Raspberry Pi diese IP-Adresse mit der genannten Netzmaske als statische IP-Adresse.

Wir deaktivieren als erstes den WLAN Adapter um die Einstellungen vornehmen zu können

Wir öffnen die Konfigurationsdatei für die Netzwerkschnittstellen mit nano

Wir ändern die Konfiguration von wlan0 wie folgt. Wir ändern die Zeile iface wlan0 inet manual zu iface wlan0 inet static und fügen darunter in eine neue Zeile die IP-Adresse address 192.168.179.1 mit der Netzmaske netmask 255.255.255.0 ein. Die Zeilen für den WPA-Schlüssel und die Defaults kommentieren wir durch voranstellen einer # aus.

Das ist meine interfaces Datei nach dem editieren.

Speichern wieder mit STRG+X, Y und Enter.

Access Point Software am Raspberry Pi konfigurieren

Falls ihr einen anderen WLAN Stick verwendet muss hier ggf. der Treiber (driver=rtl871xdrv) in den passenden geändert werden.

Wir konfigurieren nun das WLAN Netzwerk das unser Raspberry Pi später ausstrahlt. Hierzu erstellen wir eine Konfigurationsdatei für den vorher installierten Dienst hostapd.

Fügt folgende Konfiguration ein, diese bestimmt das WLAN Netz auf dem Adapter wlan0 erstellt wird und der WLAN Name raspberry.tips ist. Als Passwort für das WLAN Netzwerk wird RaspberryTor verwendet unter Verwendung von WPA Verschlüsselung (Auf Groß- Kleinschreibung achten!).

Speichert und beendet wie immer und stellt sicher das keine Leerzeichen etc. in der Datei vorhanden sind, die Software ist hier sehr genau.

Wir Editieren nun noch die Parameter des Dienstes um festzulegen wo wir unsere WLAN Konfigurationsdatei abgelegt haben.

Wir ändern die Zeile #DAEMON_CONF="" wie folgt ab, vergesst nicht die Raute zu entfernen. Speichert und Beendet Nano wie gewöhnlich.

Falls ihr wie ich den EDIMAX Stick verwendet benötigt ihr noch ein angepasstes hostapd binary, sonst funktioniert der Hotspot / Access Pint nicht. Das Herunterladen und ersetzen der Binary erledigen folgende Befehle. Die angepasste Version von Hostapd kommt von Realteak und ist im Treiber für das 8188CUS Chipset enthalten. Das dauert ein paar minuten.

Routing und NAT am Raspberry Pi einrichten

Es existiert nun ein WLAN, eine Verbindung zum Internet via LAN, aber woher soll der Raspberry Pi nun wissen was er mit den Daten, welche über das WLAN bei Ihm ankommen, machen soll? Das ist ganz einfach, wir richten ein Routing ein welches bestimmt das die Daten aus dem WLAN Netz an das Internet weitergeleitet werden, das ganze passiert via Network Adresse T ranslation (NAT).

Als erstes aktivieren wir das IP Forwarding in der Datei sysctl.conf. Das benötigen wir um überhaupt Daten zwischen den Netzwerken weiterleiten zu können.

Wir fügen ans Ende der Datei folgende Zeile ein und speichern/beenden wie gewohtn.

Jetzt konfigurieren wir noch das NAT zwischen WLAN0 und ETH0 über das Tool iptables und speichern die Änderungen in die Datei /etc/iptables.ipv4.nat.

Da wir nach jedem Reboot die Konfiguration für das NAT wieder laden möchten fügen wir den Befehl hierzu in unsere interfaces Datei ans Ende an.

Fügt ans Ende folgende Zeile hinzu und Speichert wie immer.

WLAN Hotspot testen

Jetzt wird es Zeit unsere vorgenommenen Konfigurationen zu testen. Um alle Änderungen zu aktivieren führen wir jetzt einen Reboot durch, das ist einfacher als alle Dienste nun von Hand zu starten.

Nach einen Reboot solltet ihr eich mit einem beliebigen WLAN Gerät verbinden und im Internet surfen können. Bei meinem Test mit meinem Windows Phone funktioniert alles einwandfrei.

Solltet ihr kein WLAN finden ist vermutlich der hostapd nicht richtig gestartet worden, ihr könnt diesen manuell starten um nach dem Fehler zu suchen.

Da wir nun einen voll funktionsfähigen Hotspot bzw. Access Point haben können wir mit der Einrichtung unserer Tor Software zum anonymen Surfen über den Raspberry Pi fortfahren.

Wir installieren als erstes die Software Tor.

Alle notwendigen Einstellungen erledigen wir in der Konfigurationsdatei der Tor Software, wir editieren diese mit dem Editor Nano

Wir fügen folgende Konfiguration ganz oben in die Datei ein. Diese Parameter bestimmen die Log Datei, das virutelle Netzwerk für den Datenverkehr und die IP-Adresse auf welcher gelauscht wird (unser WLAN Interface).

Gespeichert wird mit STRG-X, Y und Enter.

Da die Tor Software auf unserem Raspberry Pi mit einem virtuellen Netz arbeitet müssen wir die iptables Parameter noch anpassen sodass der Datenverkehr vom wlan nicht mehr direkt ins Internet gelangt sondern über die Tor Software läuft und dann ins Internet gesendet wird. Hierzu setzen wir die Konfiguration von IPTables zurück.

Dann definieren wir als erstes eine Ausnahme die besagt das SSH und DNS Datenverkehr nicht über Tor geleitet wird sondern direkt am Raspberry Pi landet und unter Umständen direkt ins Internet weitergeleitet wird.

Mit dieser Regel definieren wir das aller weiterer Datenverkehr aus dem WLAN über Tor geroutet wird (Port 9040 auf welchem der Tor Dienst lauscht).

Dann speichern wir die Tor Regeln wieder in eine Datei ab (iptables.ipv4.tor.nat).

Das nach jedem Neustart auch die richtigen iptables Regeln geladen werden müssen wir noch die Datei interfaces anpassen und festlegen das anstelle der Regeln iptables.ipv4.nat die Regeln aus iptables.ipv4.tor.nat geladen werden. Falls ihr später nur den Access Point Modus ohne Tor verwenden möchtet könnt ihr die Regeln einfach anpassen.

Ändert in der Datei einfach iptables.ipv4.nat zu iptables.ipv4.tor.nat. Mein Ergebnis sieht wie folg aus.

Speichert und beendet nano. Jetzt fügen wir den Tor Dienst noch zum automatischen starten hinzu

https://check.torproject.org

Nach einem Reboot ist die Arbeit auch schon erledigt.

Wichtig! Um zu überprüfen das ihr auch wirklich via Tor im Internet unterwegs seit könnt ihr die Check-Seite von Tor verwenden.

Bei mir sieht das Ergebnis so aus.

Viel Spaß beim anonymen surfen!