Tor Transparent Proxy: HTTP/HTTPS/DNS systemweit über Tor routen

Ein kleines, aber nützliches Tool-Projekt für alle, die gelegentlich Traffic anonymisiert testen oder recherchieren wollen, ohne dafür gleich den ganzen Netzwerk-Stack umzubauen: tor-transparent-proxy, ein Bash-Script, das systemweites HTTP/HTTPS- und DNS-Routing über Tor per Knopfdruck an- und ausschaltet.

Das Problem mit “einfach proxychains benutzen”

proxychains4 curl ... reicht, wenn man einen Befehl über Tor schicken will. Aber sobald der Browser oder eine Anwendung selbst entscheiden soll, über Tor zu gehen – ohne jeden einzelnen Aufruf manuell zu wrappen – braucht es systemweites transparentes Proxying. Das ist über iptables-NAT-Regeln lösbar, aber mit ein paar Fallstricken, die leicht zu Leaks führen:

• QUIC/HTTP3 läuft über UDP – Tor kann aber nur TCP-Streams und DNS-Lookups weiterleiten. Ohne Gegenmaßnahme würde QUIC-Traffic komplett an Tor vorbeigehen.
• IPv6: Browser bevorzugen IPv6, wenn verfügbar (“Happy Eyeballs”). Tors TransPort/DNSPort sind aber nur IPv4-fähig – eine IPv6-fähige Verbindung würde Tor also einfach umgehen und die echte IPv6-Adresse leaken.

Was das Script macht

tor-proxy-toggle.sh setzt und entfernt einen klar abgegrenzten Satz iptables/ip6tables-Regeln:

./tor-proxy-toggle.sh on       # HTTP/HTTPS/DNS über Tor routen
./tor-proxy-toggle.sh off      # normales Routing wiederherstellen
./tor-proxy-toggle.sh status   # aktuellen Status + Exit-IP prüfen

Im ON-Zustand:

• TCP 80/443 → transparent auf Tors TransPort umgeleitet
• DNS (TCP+UDP 53) → auf Tors DNSPort umgeleitet
• QUIC (UDP 443) → geblockt, damit Browser automatisch auf TCP/TLS zurückfallen (welches dann korrekt durch Tor läuft)
• IPv6-Web-/DNS-Traffic → geblockt, um IPv6-Leaks zu verhindern (Fallback auf IPv4, wo der Redirect greift)
• Alles andere – SSH, eigene App-Ports, LAN-/Docker-Traffic – bleibt unangetastet

Im OFF-Zustand werden sämtliche Regeln vollständig entfernt, normales Routing ist sofort wiederhergestellt. Nichts wird dauerhaft verändert.

Verifiziert

• curl https://check.torproject.org/api/ip → IsTor: true, auch ganz ohne proxychains-Wrapper
• curl -6 mit aktiviertem Toggle läuft in einen Timeout (IPv6 korrekt geblockt), Fallback auf IPv4 funktioniert
• iptables-Regelzähler bestätigen, dass die QUIC- und IPv6-Drop-Regeln tatsächlich greifen, nicht nur vorhanden sind

Kein Ersatz für den Tor Browser

Wichtig zu betonen: Das Script anonymisiert den Netzwerkpfad, nicht mehr. Es ist kein Fingerprinting-Schutz und keine vollständige Kill-Switch-Lösung für alle Protokolle – nur HTTP/HTTPS/DNS werden erfasst. Wer wirklich starke Anonymität braucht, sollte weiterhin den Tor Browser nutzen.

Code, vollständige Installationsanleitung und alle Details zur iptables-Logik gibt’s im Repo: github.com/AlaBYahya/tor-transparent-proxy