TTP - Transparent Tor Proxy

एक Linux CLI टूल जो nftables का उपयोग करके सभी सिस्टम ट्रैफ़िक को पारदर्शी रूप से Tor नेटवर्क के माध्यम से रूट करता है।

विशेषताएँ • आवश्यकताएँ • इंस्टॉलेशन • उपयोग • यह कैसे काम करता है • सत्यापन • योगदान करें

प्रति-एप्लिकेशन सेटअप की आवश्यकता नहीं - बस sudo ttp start और हर कनेक्शन Tor से होकर जाता है।

[!CAUTION] TTP एक ऐसा टूल है जिसे ट्रैफ़िक को Tor के माध्यम से रूट करके गोपनीयता में सहायता के लिए डिज़ाइन किया गया है। हालाँकि, कोई भी टूल 100% गुमनामी की गारंटी नहीं दे सकता। आपकी सुरक्षा आपके व्यवहार पर भी निर्भर करती है (जैसे, सामान्य ब्राउज़र बनाम Tor Browser का उपयोग, खातों में साइन इन करना, आदि)। TTP को हमेशा बहु-स्तरीय सुरक्षा रणनीति के हिस्से के रूप में उपयोग करें।

[!WARNING] यदि आप एक व्हिसलब्लोअर हैं या उच्च-जोखिम वाली गतिविधियों में संलग्न हैं, तो TTP का उपयोग न करें। इसके बजाय, आधिकारिक रूप से ऑडिट किए गए और विश्वसनीय टूल जैसे TailsOS या सीधे Tor Browser का उपयोग करें। TTP के लेखक और योगदानकर्ता आपकी सुरक्षा या इस सॉफ़्टवेयर का उपयोग करने के परिणामों की कोई ज़िम्मेदारी नहीं लेते हैं।

TTP क्यों?

पुरानी पारदर्शी प्रॉक्सी स्क्रिप्ट्स (TorGhost, Anonsurf) कॉन्फ़िगरेशन फ़ाइलों को अधिलेखित कर देती हैं और ऐसे iptables रूलसेट बनाती हैं जो खुली विफल होती हैं: जब वे टूटती हैं, तो ट्रैफ़िक स्पष्ट रूप में बाहर चला जाता है। TTP दूसरी तरह से बनाया गया है - यह बंद होकर विफल होता है, और डिस्क पर कुछ भी नहीं रखता।

विशेषताएँ

• निरंतर अखंडता सुरक्षा - एक औपचारिक FSM (transitions) द्वारा नियंत्रित एक वॉचडॉग, जो एक डबल inotify वॉच के माध्यम से Tor, nftables चेन और DNS ओवरले की निगरानी करता है और सिमलिंक-टार्गेट स्वैपिंग को पकड़ता है। यह एक बार मरम्मत करता है, फिर एक आपातकालीन किलस्विच लागू करता है।
• स्प्लिट टनलिंग - मूल nftables UID/GID मिलान के साथ उपयोगकर्ताओं या समूहों को छूट दें (--bypass-user, --bypass-group), या cgroups v2 स्लाइस के माध्यम से ttp bypass <cmd> के साथ Tor के बाहर एक एकल कमांड चलाएँ।
• LAN संरक्षित - RFC 1918 और लिंक-लोकल सबनेट पहुँच योग्य रहते हैं, इसलिए आपका प्रिंटर और NAS काम करते रहते हैं।
• डुअल-स्टैक, या कोई स्टैक नहीं - जब लूपबैक रूटिंग उपलब्ध होती है तो IPv6 को Tor के माध्यम से रूट किया जाता है, और जब यह उपलब्ध नहीं होती तो सीधे ड्रॉप कर दिया जाता है। कोई तीसरा विकल्प नहीं है जहाँ यह लीक हो।
• DoT और DoH अवरुद्ध - पोर्ट 853 अस्वीकृत, ज्ञात सार्वजनिक DoH रिज़ॉल्वर 443 पर अस्वीकृत (TCP और QUIC), और ब्राउज़र कैनरी डोमेन torrc में ज़हरीले किए गए।
• आपके सिस्टम Tor के साथ सहअस्तित्व - गैर-मानक पोर्ट पर अपनी स्वयं की अस्थिर ttp-tor.service चलाता है, जिससे मौजूदा Tor इंस्टेंस अछूता रहता है।
• ब्रिज - obfs4 और snowflake, BYOD (अपना डेमन लाएँ) मोड के साथ।

आवश्यकताएँ

• systemd के साथ Linux
• Python 3.10+
• nftables (अधिकांश आधुनिक डिस्ट्रोज़ पर पहले से इंस्टॉल)
• रूट विशेषाधिकार (फ़ायरवॉल और DNS संशोधनों के लिए आवश्यक)

इंस्टॉलेशन

वह विधि चुनें जो आपकी आवश्यकताओं के लिए सबसे उपयुक्त हो। सिस्टम स्थिरता, सुरक्षा और स्वच्छ अनइंस्टॉलेशन के लिए नेटिव पैकेज दृढ़ता से अनुशंसित हैं।

1. नेटिव पैकेज (अनुशंसित)

नेटिव पैकेज के माध्यम से इंस्टॉल करना सुनिश्चित करता है कि सभी सिस्टम निर्भरताएँ (tor, nftables) और कर्नेल-स्तरीय अनुकूलन (SELinux) आपके OS पैकेज मैनेजर द्वारा प्रबंधित हों।

आप जो संस्करण चाहते हैं उसके लिए नवीनतम रिलीज़ से .deb या .rpm डाउनलोड करें - पैकेज रिलीज़ एसेट हैं और रिपॉज़िटरी में चेक-इन नहीं हैं - फिर इसे इंस्टॉल करें:

• Debian / Ubuntu: sudo apt install ./transparent-tor-proxy_0.4.9_all.deb
• Fedora / RHEL: sudo dnf install ./transparent-tor-proxy-0.4.9-1.noarch.rpm
• Arch Linux: रिपॉज़िटरी से cd packaging && makepkg -si के साथ बिल्ड करें

रिलीज़ एसेट की अखंडता और प्रामाणिकता को सत्यापित करने के तरीके के निर्देशों के लिए, रिलीज़ सत्यापन गाइड देखें।

2. मैनुअल सोर्स इंस्टॉल (डेवलपर/यूनिवर्सल)

यदि आप एक डेवलपर हैं या रिपॉज़िटरी से इंस्टॉल करना चाहते हैं:

git clone https://github.com/onyks-os/TransparentTorProxy.git
cd TransparentTorProxy
sudo ./scripts/install.sh

[!TIP] ./install.sh का उपयोग क्यों करें?
मानक Python इंस्टॉलर के विपरीत, यह स्क्रिप्ट "बुद्धिमान" है। Red Hat-आधारित सिस्टम पर, यह पता लगाती है कि SELinux Enforcing मोड में है या नहीं और गतिशील रूप से एक कस्टम पॉलिसी मॉड्यूल (ttp_tor_policy.te से) संकलित करती है ताकि Tor को TTP द्वारा आवश्यक गैर-मानक पोर्ट (9041, 9054) पर बाइंड करने की अनुमति मिल सके। यह कर्नेल-स्तरीय अनुकूलन pip द्वारा नहीं किया जा सकता।

3. वैकल्पिक इंस्टॉलेशन विधियाँ (फ़ॉलबैक)

Python-विशिष्ट पैकेज मैनेजर (pipx या वर्चुअल एनवायरनमेंट के साथ pip) के माध्यम से TTP इंस्टॉल करने के लिए, वैकल्पिक इंस्टॉलेशन विधियाँ संदर्भ देखें।

उपयोग

TTP को सरल और हल्का बनाया गया है। CLI कमांड, विकल्प, एग्ज़िट कोड और तकनीकी विशिष्टताओं की पूरी सूची के लिए, बाहरी इंटरफ़ेस संदर्भ देखें।

त्वरित शुरुआत

अधिकांश नेटवर्क-संशोधक कमांड के लिए रूट विशेषाधिकार (sudo) आवश्यक हैं:

• प्रॉक्सी शुरू करें:

  root@kitploit:~

  sudo ttp start
  

• प्रॉक्सी बंद करें:

  root@kitploit:~

  sudo ttp stop
  

• वर्तमान सत्र स्थिति जाँचें:

  root@kitploit:~

  ttp status
  

• Tor रूटिंग और विलंबता सत्यापित करें:

  root@kitploit:~

  ttp check
  

• नया एग्ज़िट IP अनुरोध करें (सर्किट रोटेट करें):

  root@kitploit:~

  sudo ttp refresh
  

अधिक उन्नत सेटअप और सर्कुमवेंशन प्रोफ़ाइल के लिए, उन्नत सुरक्षा और उपयोग प्रोफ़ाइल संदर्भ देखें या बाहरी इंटरफ़ेस संदर्भ देखें।

अपने सत्र की जाँच करना

पूर्ण अनइंस्टॉलेशन

सिस्टम से TTP को पूरी तरह हटाने के लिए:

sudo ./scripts/uninstall.sh

यह कैसे काम करता है

TTP मानक Linux कर्नेल सबसिस्टम, सिस्टम यूटिलिटीज़ और Tor के कंट्रोल इंटरफ़ेस को ऑर्केस्ट्रेट करके सभी नेटवर्क ट्रैफ़िक को पारदर्शी रूप से रूट करता है:

flowchart LR
    App["Application"] --> Local["Local Network"]
    Local --> DNS["systemd-resolved (Intercepted)"]
    DNS --> NFT["nftables (inet ttp table)"]
    NFT --> Tor["Tor Daemon"]
    Tor --> Internet["Internet"]

1. परमाणु फ़ायरवॉल रीडायरेक्शन: TCP और DNS ट्रैफ़िक को इंटरसेप्ट करने के लिए एक पृथक inet ttp nftables रूलसेट को परमाणु रूप से जनरेट और लोड करता है, उन्हें Tor पर रीडायरेक्ट करता है जबकि IPv6 और DoT/DoH लीक को रोकता है।
2. DNS बाइंड-माउंट ओवरले: यह सुनिश्चित करने के लिए कि DNS कॉल Tor द्वारा हल किए जाएँ, कर्नेल-स्तरीय बाइंड-माउंट के माध्यम से /etc/resolv.conf को एक अस्थिर RAM-समर्थित कॉन्फ़िगरेशन के साथ ओवरले करता है।
3. Tor डेमन एकीकरण: पोर्ट संघर्ष को रोकने के लिए गैर-मानक पोर्ट पर अस्थिर systemd सेवाओं के माध्यम से एक पृथक Tor इंस्टेंस को कॉन्फ़िगर, चलाता और मॉनिटर करता है।
4. सत्र वॉचडॉग: एक सक्रिय बैकग्राउंड मॉनिटर चलाता है जो कॉन्फ़िगरेशन अखंडता को सत्यापित करता है और सुरक्षा उल्लंघन या सिस्टम संशोधन पर एक बंद-विफल आपातकालीन किलस्विच निष्पादित करता है।

निष्पादन प्रवाह, सिस्टम हुक, सुरक्षा सीमाओं और मॉड्यूलर घटकों के विस्तृत विवरण के लिए, कृपया देखें:

तकनीकी आर्किटेक्चर और डिज़ाइन गाइड

क्रैश रिकवरी

TTP को हमेशा आपका नेटवर्क बहाल करने के लिए डिज़ाइन किया गया है, यहाँ तक कि एज केस में भी:

ज्ञात व्यवहार और सीमाएँ

[!WARNING]

• Tor Browser: स्पष्ट SOCKS5 प्रॉक्सी का उपयोग करने वाले एप्लिकेशन एक डबल Tor हॉप बनाएँगे। TTP सक्रिय होने के दौरान इसके बजाय एक सामान्य ब्राउज़र का उपयोग करें।
• DNS-over-HTTPS (DoH): सामान्य ब्राउज़र (Firefox, Chrome, Brave, Edge) DoH का उपयोग कर सकते हैं, सिस्टम DNS को बायपास करते हुए। TTP 3-परत रक्षा के माध्यम से DoH को कम करता है: (1) सभी आउटबाउंड TCP ट्रैफ़िक (DoH सहित) Tor TransPort पर रीडायरेक्ट किया जाता है; (2) सामान्य DoH कैनरी डोमेन torrc में 0.0.0.0 पर मैप किए जाते हैं; (3) सार्वजनिक DoH IP रिज़ॉल्वर TCP/UDP पोर्ट 443 पर अवरुद्ध हैं (HTTP/3 QUIC DoH को अवरुद्ध करते हुए)। अधिकतम सुरक्षा के लिए, अपनी ब्राउज़र सेटिंग्स में DoH / "Secure DNS" अक्षम करें।
• IPv6: उपलब्ध होने पर पूरी तरह समर्थित। TTP गतिशील रूप से IPv6 लूपबैक का पता लगाता है और IPv6 ट्रैफ़िक को Tor के माध्यम से रूट करता है। यदि होस्ट में IPv6 लूपबैक समर्थन नहीं है या यदि --no-ipv6 विकल्प पास किया गया है, तो TTP लीक को रोकने के लिए सभी आउटगोइंग IPv6 ट्रैफ़िक को ड्रॉप करता है।
• एग्ज़िट IP भिन्नता: Tor स्ट्रीम आइसोलेशन के कारण विभिन्न कनेक्शन विभिन्न एग्ज़िट IP दिखा सकते हैं।

अवशिष्ट जोखिमों, आर्किटेक्चरल ट्रस्ट बाउंड्रीज़ और STRIDE थ्रेट मॉडल के पूर्ण विवरण के लिए, देखें:

docs/security-assessment.md

विकास और परीक्षण

TTP परीक्षण पाइपलाइन को स्वचालित और मानकीकृत करने के लिए एक Makefile का उपयोग करता है। यह सुनिश्चित करता है कि कमिट करने से पहले प्रत्येक परिवर्तन को यूनिट और इंटीग्रेशन परीक्षणों के विरुद्ध सत्यापित किया जाए।

"प्री-पुश" नियम

[!IMPORTANT] कोड पुश करने से पहले हमेशा make verify चलाएँ। यदि यह कमांड विफल होती है, तो कोड प्रोडक्शन के लिए तैयार नहीं है।

आवश्यक कमांड

सत्यापन

TTP का ज़ीरो-लीक दावा मापा जाता है, दावा नहीं किया जाता। नेटवर्क सैंडबॉक्स इंजन एक पृथक नेटवर्क नेमस्पेस बनाता है, उसमें TTP का वास्तविक जनरेट किया गया रूलसेट लोड करता है, वह ट्रैफ़िक जनरेट करता है जिसमें एक लीक शामिल होगा, और Scapy स्निफ़र के साथ सीमा veth इंटरफ़ेस को देखता है।

प्रत्येक कंटेनमेंट टेस्ट दो बार चलता है। assert no leaks तब भी सत्य होता है जब स्निफ़र कभी शुरू नहीं हुआ, जब इंटरफ़ेस का नाम गलत है, या जब ट्रैफ़िक कभी प्रोसेस से बाहर नहीं गया, इसलिए प्रत्येक टेस्ट पहले रूलसेट फ्लश के साथ वही उत्तेजना चलाता है और पैकेट को देखे जाने की आवश्यकता होती है। केवल तभी यह दावा करता है कि TTP का रूलसेट इसे रोकता है। एक हार्नेस जो लीक का निरीक्षण नहीं कर सकता, वह टेस्ट पास करने के बजाय विफल हो जाता है।

कवर किया गया: सादा DNS (UDP और TCP), सामान्य TCP, 853 पर DoT, UDP/443 पर QUIC DoH, ICMP, मनमाना UDP, IPv6 — साथ ही दूसरी दिशा, कि एक बायपास किया गया UID अभी भी LAN तक पहुँच सकता है। एक फ़ायरवॉल जो सब कुछ अवरुद्ध करता है, पहले सात पास करेगा और आठवें में विफल होगा।

# libpcap is required: the sniffer compiles a BPF filter, and Scapy dlopen()s
# the unversioned libpcap.so that only the -devel/-dev package ships.
sudo apt install nftables iproute2 conntrack libpcap0.8 libpcap-dev   # Debian/Ubuntu
sudo dnf install nftables iproute2 conntrack libpcap libpcap-devel    # Fedora/RHEL
pip install -e ".[nse]"
make test-nse            # runs as root; TTP_REQUIRE_NSE=1 so it cannot skip itself

यह प्रत्येक पुश पर CI में चलता है (ज़ीरो-लीक रूलसेट सत्यापन जॉब) और रिलीज़ से पहले scripts/verify.sh में एक चरण के रूप में।

उन्नत: वास्तविक-विश्व VM परीक्षण

जबकि Docker इंटीग्रेशन टेस्ट तेज़ और परमाणु हैं, वे कर्नेल/systemd की 100% बारीकियों को कैप्चर नहीं करते। महत्वपूर्ण परिवर्तनों के लिए, एक वास्तविक QEMU VM में परीक्षण करना अत्यधिक अनुशंसित है:

# Start a specific VM (e.g., arch)
./scripts/vm/start.sh arch

# Sync current code to the VM
./scripts/vm/send.sh

# Snapshot management for easy rollbacks
./scripts/vm/snapshot.sh arch save before-risky-test

डायग्नोस्टिक्स

यदि कुछ गलत हो जाता है, तो डायग्नोस्टिक कमांड चलाएँ:

sudo ttp diagnose

प्रोजेक्ट संरचना

├── pyproject.toml          # Package metadata and dependencies
├── README.md
├── CONTRIBUTING.md         # Contribution guidelines
├── SECURITY.md             # Security policy
├── scripts/                # Installation, verification, and VM management scripts
├── assets/                 # Branding and demo assets
├── packaging/              # Packaging configurations (.deb, .rpm, Arch PKGBUILD)
├── ttp/                    # Main Python source package
│   └── resources/          # Internal package resources (SELinux policies, etc.)
├── tests/                  # Unit, integration, and leak testing suites
└── docs/                   # Technical documentation, threat models, and ADRs