摘要：Tor项目近日发布了名为Oniux的新型命令行工具，该工具可将任何Linux应用程序的网络流量安全地路由至Tor网络，实现匿名化连接。

Tor项目近日发布了名为Oniux的新型命令行工具，该工具可将任何Linux应用程序的网络流量安全地路由至Tor网络，实现匿名化连接。

基于Linux命名空间的隔离技术

与依赖用户空间技巧的torsocks等传统方法不同，Oniux利用Linux命名空间（Linux namespaces）为每个应用程序创建完全隔离的网络环境。即使应用程序存在恶意行为或配置错误，也能有效防止数据泄露。

Linux命名空间是内核级功能，允许进程在隔离环境中运行，每个环境对网络、进程或文件挂载等系统资源都有独立视图。Oniux通过该技术在内核层面隔离应用程序，强制其所有流量通过Tor网络传输。

Tor项目在官方博客中表示："我们很高兴推出_oniux_这款小型命令行工具，它利用Linux命名空间为第三方应用程序提供Tor网络隔离功能。该工具基于Arti和onionmasq构建，可将任何Linux程序置于独立的网络命名空间，通过Tor路由流量并消除数据泄露风险。"

技术实现原理

Oniux通过以下机制实现安全隔离：

将每个应用程序置于独立的网络命名空间，无法访问主机接口

通过onionmasq附加虚拟接口（onion0）实现Tor路由

使用挂载命名空间注入定制的/etc/resolv.conf配置文件确保Tor安全DNS解析

采用用户/PID命名空间以最小权限安全配置环境

这种架构确保任何Linux应用程序都能获得内核强制实施的防泄漏Tor隔离环境。

与传统方案的对比

传统工具Torsocks采用"LD_PRELOAD"技术拦截动态链接Linux应用程序中与网络相关的函数调用，并通过Tor SOCKS代理重定向。但存在以下局限：

无法捕获原始系统调用

恶意程序可通过绕过libc函数导致泄露

完全不支持静态二进制文件

缺乏真正的隔离机制，应用程序仍可访问主机真实网络接口

Tor项目发布的功能对比表清晰展示了两者差异：

当前状态与使用建议

尽管Oniux具有明显优势，Tor项目强调该工具仍处于实验阶段，尚未经过多场景下的全面测试。因此不建议在关键业务中使用，可能出现预期外行为。

目前，项目源代码已公开发布，想要体验测试，需先在Linux发行版中安装Rust，然后执行以下命令安装工具：

cargo install --git https://gitlab.torproject.org/tpo/core/oniux oniux@0.4.0

参考来源：

New Tor Oniux tool anonymizes any Linux app's network traffic

来源：FreeBuf