В этом выпуске: настройка i2p и tor inproxy, настройка коротких доменных имен для жизненно необходимых скрытых сервисов. От идеи резолвить все прямо на .i2p и .onion мы отказались из соображений безопасности, наш конфиг unbound дропает такие реквесты, поэтому мы запустили inproxy на .i2p.puk и .onion.puk. Поскольку криптосервер приватен, нам не нужен никакой tor2web. Мы будем использовать только nginx и privoxy. Добавляем всякие репозитории, затем ставим nginx, privoxy, tor и i2p. sudo sh -c 'echo "deb http://nginx.org/packages/debian/ jessie nginx" >> /etc/apt/sources.list' sudo sh -c 'echo "deb http://deb.i2p2.no/ jessie main" >> /etc/apt/sources.list' sudo sh -c 'echo "deb http://deb.torproject.org/torproject.org jessie main" >> /etc/apt/sources.list' wget http://nginx.org/keys/nginx_signing.key wget https://geti2p.net/_static/i2p-debian-repo.key.asc gpg --with-fingerprint nginx_signing.key # 573B FD6B 3D8F BC64 1079 A6AB ABF5 BD82 7BD9 BF62 gpg --with-fingerprint i2p-debian-repo.key.asc # 7840 E761 0F28 B904 7535 49D7 67EC E560 5BCF 1346 sudo apt-keys add nginx_signing.key sudo apt-keys add i2p-debian-repo.key.asc gpg --keyserver keys.gnupg.net --recv 886DDD89 gpg --export A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89 | sudo apt-key add - rm nginx_signing.key i2p-debian-repo.key.asc sudo apt-get update sudo apt-get install nginx privoxy tor i2p deb.torproject.org-keyring i2p-keyring В `/etc/privoxy/config` добавляем эти строчки forward-socks5 / 127.0.0.1:9050 . forward .i2p localhost:4444 accept-intercepted-requests 1 Первые две связывают privoxy с Tor и I2P, без третьей не будет работать связка с nginx. Можно также закомментить лишние actionsfile и filterfile (кроме user.actions и user.filter). В `/etc/privoxy/user.filter` добавляем это FILTER: rampshops Remove redirect to ya.ru if location.host is not what RAMP shops expect s/if\(document\.body\.getAttribute\("id"\)\s!=\smd5\(location\.host\)\)\s*location\.href\s=\s"http\:\/\/ya\.ru";//g FILTER: oururls Replace hidden URLs with ours s/http\:\/\/(.*)(shops3jckh3dexzy|shopkxrdtqcfzuvl|sholq4kbukl5mitc)\.onion(?!\.puk)/http\:\/\/$1shops\.puk/g s/http\:\/\/(ramp2bombkadwvgz|ramp3e4jevfkjvyo|ramp2uh2esdm4tac|ramp4qd6or3h364t|ramp5bb7v2abm34a)\.onion(?!\.puk)/http\:\/\/ramp\.puk/g s/http?\:\/\/(.*)\.onion(?!\.puk)/http\:\/\/$1\.onion\.puk/g s/http\:\/\/(.*)\.i2p(?!\.puk)/http\:\/\/$1\.i2p\.puk/g Лайк если sed -- это просто и понятно. Первая хуйня уберет джаваскриптовый редирект, который осуществляется если рампе не понравился ваш локейшен, вторая -- заменит ссылки на наши. Пишем эти строки в `/etc/privoxy/user.action` {+filter{rampshops}} .shops3jckh3dexzy.onion .shopkxrdtqcfzuvl.onion .sholq4kbukl5mitc.onion {\ +hide-user-agent{Mozilla/5.0 (Windows NT 6.1; rv:38.0) Gecko/20100101 Firefox/38.0}} \ +hide-referrer{block} \ +filter{oururls} \ } / Первый фильтр пофиксит рампошопы, второй блок сменит юзер-агент, уберет referer для всех реквестов и пофиксит все ссылки. Если вы пользовались конфигом unbound из предыдущего поста про DNS (#2PI5A3), то туда (`/etc/unbound/unbound.conf`) надо добавить еще такую запись local-zone: "puk." redirect local-data: "puk. A 172.16.1.1" Ну и пихаем [вот это](http://0bin.net/paste/gIBc9tbim2bUbtIx#fia6+QkCgZtooH7ldjstIFiigffo+7DPvEi2eMV-PH+) в конфиг nginx. Теперь все должно работать. Ура?

В этом выпуске мы настроим резолвинг DNS. Нам нужны обычные домены, альтернативные TLD (при этом блокчейн-бейзед TLD должны юзать фуллноды для резолва), все должно кешироваться, плюс надо поднять собственную доменную зону `.puk`. Для обычных доменов мы будем использовать dnscrypt-proxy. Его нету в stable, поэтому надо подключить unstable репозитории. Потом надо поставить приоритет для стейбла, записав это в `/etc/apt/preferences`. Package: * Pin: release a=unstable Pin-Priority: 700 Package: * Pin: release a=stable Pin-Priority: 900 Обновляем репозитории sudo apt-get update Ставим dnscrypt-proxy sudo apt-get install dnscrypt-proxy/unstable sudo mkdir /var/run/dnscrypt-proxy sudo chown -R _dnscrypt-proxy /var/run/dnscrypt-proxy Открываем файл `/etc/default/dnscrypt-proxy`. В `DNSCRYPT_PROXY_RESOLVER_NAME` записывается имя сервера. Полный список можно посмотреть в `/usr/share/dnscrypt-proxy/dnscrypt-resolvers.csv`. Криптокоммуна выбрала `cloudns-can`. В `DNSCRYPT_PROXY_OPTIONS` пишем `--ephemeral-keys --pidfile=/var/run/dnscrypt-proxy/dnscrypt-proxy.pid`. Создаем директорию, чтобы переписать параметры стандартного юнита. sudo mkdir /etc/systemd/system/dnscrypt-proxy.socket.d Делаем `nano /etc/systemd/system/dnscrypt-proxy.socket.d/override.conf` и пишем туда следующее [Socket] ListenStream= ListenDatagram= ListenStream=127.0.0.1:5333 ListenDatagram=127.0.0.1:5333 Это адрес, на котором dnscrypt-proxy будет слушать. Перелоадываем юнит, рестартим dnscrypt-proxy sudo systemctl reenable dnscrypt-proxy.socket sudo systemctl restart dnscrypt-proxy Пробуем, должно работать. nslookup -port=5333 bnw.im 127.0.0.1 Ставим namecoind sudo sh -c 'echo "deb http://download.opensuse.org/repositories/home:/p_conrad:/coins/Debian_8.0/ /" >> /etc/apt/sources.lists' wget http://download.opensuse.org/repositories/home:p_conrad:coins/Debian_8.0/Release.key gpg --with-fingerprint Release.key # C39B 1D48 8C88 5617 1C1F 6CB3 29D8 C8DA C444 7CF3, проверьте, в криптокоммуне был проверен с помощью разных экзит-нод sudo apt-key add - < Release.key && rm Release.key sudo apt-get update sudo apt-get install namecoin sudo useradd -m -r -s /bin/false namecoind sudo mkdir /home/namecoind/.namecoin Пишем в `/home/namecoind/.namecoin/namecoin.conf` вот это (пароль и логин сменить) rpcuser=user rpcpassword=pass namehistory=1 server=1 rpcport=8336 rpcallowip=127.0.0.1 Создаем директорию для пидфайла и ставим везде права sudo mkdir /var/run/namecoind sudo chown -R namecoind:namecoind /var/run/namecoind sudo chown -R namecoind:namecoind /home/namecoind sudo chmod -R 700 /home/namecoind sudo chmod 710 /home/namecoind sudo chmod 710 /home/namecoind/.namecoin sudo chmod 440 /home/namecoind/.namecoin/namecoin.conf Теперь нужно установить nmcontrol sudo useradd -G namecoind -m -r -s /bin/false nmcontrol sudo su -s /bin/bash nmcontrol cd git clone https://github.com/namecoin/nmcontrol.git python nmcontrol/nmcontrol.py --help # сгенерит конфиги sudo mkdir /var/run/nmcontrol sudo chown -R nmcontrol:nmcontrol /var/run/nmcontrol sudo chmod -R 700 /home/nmcontrol Редактируем конфиги в /home/nmcontrol/.config/nmcontrol/conf В `plugin-data.conf` пишем это start=1 update.from=namecoin import.from=namecoin update.namecoin=/home/namecoind/.namecoin/namecoin.conf import.namecoin=/home/namecoind/.namecoin/namecoin.conf update.mode=ondemand В `plugin-dns.conf` раскомменчиваем `start=1` и `disable_ns_lookups=0`. В `plugin-main.conf` раскомменчиваем `start=1` и `daemon=1`. В `plugin-http.conf`, `plugin-rpc.conf` и `plugin-systray.conf` пишем `start=0`. В `service-dns.conf` пишем это start=1 host=127.0.0.1 disable_standard_lookups=1 port=5334 resolver=127.0.0.1, Ставим emercoin sudo useradd -m -r -s /bin/false emercoind sudo mkdir /var/run/emercoind sudo mkdir /home/emercoind/.emercoin sudo touch /home/emercoind/.emercoin/emercoin.conf sudo chown -R emercoind:emercoind /var/run/emercoind sudo chmod -R 700 /home/emercoind sudo chmod -R 400 /home/emercoind/.emercoin/emercoin.conf sudo su -s /bin/bash emercoind wget http://sourceforge.net/projects/emercoin/files/0.3.7/emercoin-0.3.7-linux.tar.gz/download # если вы увидите этот гайд сильно позже, то возможно стоит посмотреть не вышла ли версия поновее tar -xzf emercoin-0.3.7-linux.tar.gz Пишем это в `/home/emercoind/.emercoin/emercoin.conf` (пароль и логин сменить) rpcuser=user rpcpassword=pass listen=1 server=1 rpcallowip=127.0.0.1 rpcport=8775 maxconnections=80 gen=0 daemon=1 emcdns=1 emcdnsallowed=.coin|.emc|.lib|.bazar emcdnsverbose=4 emcdnsport=5335 Ставим unbound sudo apt-get install unbound Пишем в /etc/unbound/unbound.conf [вот это](http://0bin.net/paste/1QBuvoChb9ViVVdi#zZrLWUpKe2En33KNGbHlkEIvo0Hbc6DVruhztDXmhhS). Что там происходит конкретно, объяснять сложно и должно, я попытался добавить комментарии к некоторым опциям. В общем это делает резолвить все днс-запросы на обычные домены через dnscrypt-proxy, добавляет резолв доменов от emercoin и namecoin, плюс локальную зону .puk, в которой сейчас запущен один сайт http://bnw.puk и кеширует DNS-запросы, чтобы это было все не пиздец медленно. На криптосервере для мониторинга процессов и автоматического их рестарта используется monit. Добавляем [это говно](http://0bin.net/paste/0q+yhYOt76oKvbJr#1S4weFmBBYVFDI80KGIDyQrKRLKq-cXb5Y30858lWl+) туда (`/etc/monit/conf.d/cryptocommune.conf`). Если вы не используете monit, то тут в принципе видно, как это должно стартовать. Перезапускаем unbound sudo systemctl restart unbound Пробуем что-нибудь порезолвить nslookup google.com 127.0.0.1 nslookup nf.bit 127.0.0.1 nslookup flibusta.lib 127.0.0.1 nslookup bnw.puk 127.0.0.1 Ура?

Криптокоммуна использует передовые технологии для защиты передаваемых мемчиков от пассивных и активных атак. Серия постов под тегом *криптосервер будет рассказывать о настройке оборудования, служащего этой цели. В этом выпуске мы настроим удаленную разблокировку dm-crypt root раздела. Поскольку криптосервер в будущем будет запотолочен куда-то за потолок без монитора и клавиатуры, данная функциональность просто необходима. Оказывается, сделать это довольно просто, если бы не тысячи противоречащих друг другу гайдов в интернете. Криптокоммуна проверила их все и написала свой. Использовался Debian Stable, openssh уже был настроен, так что ключи берутся из него. 1. Ставим нужную хуйню sudo apt-get install busybox dropbear initramfs-tools Скорее всего все, кроме dropbear, уже стоит 2. Конвертим ключи из формата openssh в формат dropbear sudo /usr/lib/dropbear/dropbearconvert openssh dropbear /etc/ssh/ssh_host_rsa_key /etc/initramfs-tools/etc/dropbear/dropbear_rsa_host_key sudo /usr/lib/dropbear/dropbearconvert openssh dropbear /etc/ssh/ssh_host_dsa_key /etc/initramfs-tools/etc/dropbear/dropbear_dss_host_key Dropbear говно и не может в ECDSA ключи (дефолтные в актуальном openssh), так что можно немного соснуть с этим. TinySSH очень крутой и может, но еще нестабильный и его нету в репах. 3. Пихаем открытый ключ в dropbear sudo cp ~/.ssh/authorized_keys /etc/initramfs-tools/etc/dropbear 4. Настраиваем dropbear чтобы он не пускал по паролю (все равно не сможет на самом деле) и чтобы смотрел только в локалку. Записать это в /etc/initramfs-tools/initramfs.conf PKGOPTION_dropbear_OPTION="-s -p 172.16.1.1:22" Хост сменить на свой. После двоеточия указывается порт. 5. Берем этот скрипт https://projectgus.com/files/headless_cryptroot/mount_cryptroot и пихаем его в /etc/initramfs-tools/hooks sudo wget https://projectgus.com/files/headless_cryptroot/mount_cryptroot -O /etc/initramfs-tools/hooks/mount_cryptroot sudo chmod +x /etc/initramfs-tools/hooks/mount_cryptroot Проверьте, чтобы в нем не оказалось какого-нибудь говна. 6. Ребилдим sudo update-initramfs -u 7. Ребутаемся, пробуем коннектиться. Именно с юзером root, это нормально, других юзеров в initramfs нету. Тип ключа указывается по причине отсоса с ECDSA, можно потом прописать в ~/.ssh/config ssh -o HostKeyAlgorithms=ssh-rsa root@172.16.1.1 После ввода пароля dropbear убьется и система загрузится. Ура?

В криптокоммуну попал разъебанный внешне, но рабочий ноутбук одного успешно выпилившегося человека. Из него был выпилен дисплей, вайфай и прочее ненужное говно, вставлен хард, установлен дебиан и это все вроде как работает. Потолочинг продолжается, но в будущем этот ноутбук будет literally запотолочен за потолок и будет раздавать интернет без цензуры и СОРМ роутерам, которые будут раздавать его посетителям и постоянным жителям криптокоммуны. Также на нем будут подняты полезные криптокоммуне вещи, типа тор релея, зеркал репозиториев, DNS-сервера с Namecoin и прочее. Сейчас на нем уже поднят свой 6nw, позволяющий каждому находящемуся в локальной сети криптокоммуны постить в бнв от имени криптокоммуны, чем я сейчас и занимаюсь. Ура!