Как запустить Tor-ретранслятор на VPS

Любой ретранслятор Tor выполняет одну из трёх ролей, и роль определяет и ваш профиль риска, и то, сколько жалоб вы будете получать.

• Промежуточный ретранслятор (middle relay) — передаёт зашифрованный трафик между другими ретрансляторами. Он никогда не обращается к открытому интернету и не общается напрямую с клиентами, поэтому его IP-адрес нигде не фигурирует как источник чего бы то ни было. Это способ внести вклад с минимальным риском и наибольшей отдачей: ни одной жалобы, никакой особой политики не требуется. Если вы новичок, начните с него.
• Входной ретранслятор (guard, entry relay) — первый узел цепочки. Статус Guard присваивают ретранслятору автоматически сами directory authorities (авторитетные серверы каталога), как только он достаточно долго остаётся стабильным и быстрым; запросить его самостоятельно нельзя. Guard-узлы видят IP-адреса клиентов, но не видят адресов назначения и, как и промежуточные ретрансляторы, практически не порождают жалоб.
• Выходной ретранслятор (exit relay) — последний узел цепочки, который от имени пользователя обращается к адресу назначения. Поскольку получатель видит именно IP-адрес выходного узла, на этот адрес приходят жалобы, предупреждения о сканировании и изредка юридические уведомления по всему трафику, который через него проходит. Выходные узлы — самые дефицитные и самые ценные ретрансляторы, а заодно самые требовательные в эксплуатации.

CryptoVpsHost разрешает все три роли. Ретрансляторы и выходные узлы Tor прямо названы в нашей политике допустимого использования как разрешённые — наряду с I2P, mixnet-сетями, выходами VPN и узлами криптовалютных сетей. Мы не ведём проактивный мониторинг содержимого и действуем только по обязательному к исполнению судебному постановлению суда, обладающего юрисдикцией над нашим операционным юридическим лицом в Сент-Китс и Невис, — с предварительным уведомлением клиента и ежемесячной warrant canary («канарейкой»). Единственная жёсткая граница — CSAM (материалы с сексуальным насилием над детьми). Если вы хотите держать выходной узел и не превращаться в службу по работе с жалобами, загляните на нашу страницу о хостинге выходных узлов Tor и выбирайте юрисдикцию осознанно.

Ретранслятор Tor не так требователен к процессору, как сборочный сервер, но ему нужен стабильный CPU для шифрования AES и криптографии рукопожатий цепочек, а главное — пропускная способность и стабильный IP-адрес. Tor назначает ретрансляторам вес по наблюдаемой пропускной способности, поэтому узел, способный пропустить больше трафика, берёт на себя пропорционально большую долю сети. Объём ОЗУ и диска почти не играет роли: ретранслятор практически не обращается к диску и занимает несколько сотен МБ оперативной памяти.

• Небольшой промежуточный ретранслятор / для обучения — S1 (2 vCPU / 4 ГБ DDR5 / 80 ГБ NVMe, от $5/мес) более чем достаточно. Ограничьте его параметром RelayBandwidthRate 5 MBytes, и у вас будет полезный ретранслятор, не требующий обслуживания.
• Серьёзный ретранслятор или выходной узел — S2 Pro (4 vCPU / 16 ГБ / 320 ГБ, от $15/мес) — золотая середина. С безлимитным исходящим каналом 10 Гбит/с он тянет быстрый ретранслятор, и процессор не становится узким местом. Именно этот тариф нужен большинству операторов.
• Высокая нагрузка / несколько выходных узлов — S3 Power (8 vCPU / 32 ГБ / 640 ГБ, от $30/мес) или выделенный сервер R1/R2 для операторов, которые держат несколько ретрансляторов в одной группе MyFamily.

Во все тарифы CryptoVpsHost входят блок IPv6 /64, ядра AMD EPYC и сеть до 10 Гбит/с с безлимитным трафиком. Лимитов на трафик нет, так что неожиданного счёта за него не будет, — но RelayBandwidthRate всё равно стоит задать, чтобы ваш ретранслятор заявлял ту пропускную способность, которую действительно способен держать, а не ту, до которой разгоняется и тут же захлёбывается. Закажите сервер на странице /order/?product=vps и оплатите в Monero (XMR); баланс пополнится примерно за 30 секунд.

Не используйте штатный пакет tor из дистрибутива — он отстаёт от апстрима на месяцы. Подключите официальный репозиторий Tor Project, чтобы своевременно получать актуальные сборки и исправления безопасности. В Debian 13 / Ubuntu 24.04:

# become root
apt update && apt install -y apt-transport-https curl gpg

# add the Tor Project signing key
curl -fsSL https://deb.torproject.org/torproject.org/A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89.asc \
  | gpg --dearmor -o /usr/share/keyrings/tor-archive-keyring.gpg

# add the repo (replace 'bookworm' with your codename if needed)
cat > /etc/apt/sources.list.d/tor.list <<'EOF'
deb [signed-by=/usr/share/keyrings/tor-archive-keyring.gpg] https://deb.torproject.org/torproject.org bookworm main
EOF

apt update
apt install -y tor deb.torproject.org-keyring nyx

Эти команды устанавливают tor как службу systemd, которая работает от отдельного непривилегированного пользователя debian-tor, а также Nyx — терминальный монитор, которым мы воспользуемся позже. Убедитесь, что версия свежая, командой tor --version. Держите систему обновлённой (unattended-upgrades), чтобы связка ключей и сам tor оставались актуальными.

Всё поведение ретранслятора определяется файлом /etc/tor/torrc. Минимальный корректный ретранслятор без выхода (промежуточный/guard) выглядит так:

# /etc/tor/torrc
Nickname        examplerelay          # 1-19 alphanumerics, your label on the network
ORPort          9001                  # the port other relays connect to
ORPort          [::]:9001             # also listen on IPv6
ContactInfo     tor-admin <at> example <dot> com   # obfuscated; abuse handlers use this

# bandwidth: sustained rate, with a higher short burst
RelayBandwidthRate   8 MBytes
RelayBandwidthBurst  12 MBytes

# OPTIONAL hard monthly cap (uncomment to limit total transfer)
# AccountingMax       8 TBytes
# AccountingStart     month 1 00:00

# group all relays you run so clients never use two in one circuit
MyFamily        $FINGERPRINT1,$FINGERPRINT2

# this node is NOT an exit
ExitRelay 0

Ключевые параметры простыми словами:

• ORPort — публичный порт для трафика между ретрансляторами. Принято использовать 9001, но подойдёт любой открытый порт. Откройте его в файрволе.
• Nickname — имя для людей: оно не обязано быть уникальным и играет чисто косметическую роль на сайтах с метриками.
• ContactInfo — обязательно задайте. По нему с вами могут связаться службы, разбирающие жалобы, и Tor Project, а операторам, с которыми не связаться, снижают приоритет. Замаскируйте адрес от парсеров, но оставьте его рабочим.
• RelayBandwidthRate / Burst — устойчивая скорость, которую Tor заявляет сети, и кратковременный потолок, до которого он может разгоняться. Задайте скорость, которую ваш канал реально выдерживает.
• MyFamily — отпечатки (fingerprint) всех ретрансляторов, которыми вы управляете (свой найдёте в /var/lib/tor/fingerprint после первого запуска). Это не даёт одному оператору оказаться сразу двумя звеньями в одной цепочке. В современных версиях Tor вместо этого можно использовать общий файл FamilyId; MyFamily по-прежнему работает и широко распространён.

Проверьте конфигурацию перед перезапуском: tor --verify-config -f /etc/tor/torrc. Затем выполните systemctl restart tor@default && systemctl enable tor@default. Следите за журналом командой journalctl -u tor@default -f — через несколько минут в нём должна появиться строка «Self-testing indicates your ORPort is reachable…» — самопроверка подтвердила, что ORPort доступен снаружи.

Чтобы превратить ретранслятор в выходной узел, задайте ExitRelay 1 и определите ExitPolicy. Не открывайте всё подряд. Самый полезный и наименее проблемный вариант — сокращённая политика выхода (reduced exit policy): она блокирует порты, на которые приходится подавляющее большинство жалоб (SMTP/спам, типичные цели сканирования, диапазоны с активным BitTorrent), но по-прежнему пропускает веб и большую часть полезного трафика:

ExitRelay 1
IPv6Exit 1

# Tor ships a curated 'reduced' policy — reference it directly:
# https://gitlab.torproject.org/legacy/trac/-/wikis/doc/ReducedExitPolicy
# or hand-roll a conservative one, e.g. web-only:
ExitPolicy accept *:80
ExitPolicy accept *:443
ExitPolicy reject *:25       # block outbound SMTP to kill spam complaints
ExitPolicy reject *:*

Честно о жалобах: промежуточный ретранслятор порождает практически ноль жалоб. Выходной узел с сокращённой политикой на загруженном IP-адресе обычно получает от нескольких до нескольких десятков автоматических сообщений в сутки: уведомления DMCA, предупреждения о переборе паролей и сканировании от ханипотов и редкие письма от антифрод-служб. Полностью открытый выходной узел может получать сотни и быстро попадает в блок-листы. Меры, которые работают:

• Запускайте выходной узел на выделенном IP-адресе, на котором больше ничего не размещено, и опубликуйте на порту 80 DNS/web-уведомление о выходном узле, чтобы операторы распознавали в нём выход Tor.
• Выбирайте юрисдикцию осознанно — смотрите наши регионы офшорного хостинга; для выходных узлов популярны Исландия (нет обязательного хранения данных) и Швейцария (FADP, вне альянса «14 Eyes»).
• Укажите настоящий ContactInfo и оперативно отвечайте на жалобы; операторы, которые остаются на связи, редко сталкиваются с проблемами.

CryptoVpsHost сам не пересылает эти жалобы, не отслеживает их и не принимает по ним мер: у нас нет мониторинга содержимого, и мы отвечаем только на надлежащим образом вручённое судебное постановление суда Сент-Китс и Невис, предварительно уведомляя вас. Но службы abuse вышестоящих сетей всё равно будут писать на указанный ContactInfo, поэтому запускайте выходные узлы там, где вы готовы с этим справляться. Единственный абсолютный запрет — CSAM; об этом и об остальных правилах, касающихся сетевых злоупотреблений, см. краткое изложение политики допустимого использования.

Когда ретранслятор запущен, наблюдайте за ним вживую через Nyx (преемник arm), который мы установили ранее. Запускайте его от имени пользователя tor, чтобы он мог читать управляющий сокет:

sudo -u debian-tor nyx

Nyx в реальном времени показывает исходящий и входящий трафик на фоне вашего RelayBandwidthRate, текущие соединения, роли в цепочках, хвост журнала и флаги ретранслятора (Running, Stable, Fast, Guard, Exit). Если скорость упирается ровно в заданное вами значение, канал насыщен, и потолок можно поднять; если она вообще не растёт, ретранслятор, возможно, ещё набирает обороты (новые ретрансляторы зарабатывают доверие и трафик в течение первых 1–2 недель).

Для взгляда со стороны найдите свой отпечаток (fingerprint) на Tor Metrics (metrics.torproject.org/rs.html): там видно, что ретранслятор опубликован в консенсусе, какие флаги ему присвоили directory authorities, и график заявленной пропускной способности. Здоровый промежуточный ретранслятор получает флаги Stable и Fast в течение нескольких дней; на Guard уходит больше времени. Настройте и базовый мониторинг хоста (достаточно простой проверки systemctl is-active tor@default), чтобы узнать, если демон упадёт. О более глубокой защите самой машины читайте в нашем руководстве по защите VPS.