如何在 VPS 上运行 Tor 中继

每个 Tor 中继都属于三种角色之一，角色既决定了你面临的风险，也决定了你会收到多少滥用投诉邮件。

• 中间中继（Middle relay）——在其他中继之间转发加密流量。它从不直接与公开互联网或客户端通信，所以它的 IP 绝不会作为任何流量的源头出现。这是风险最低、价值最高的贡献方式：零滥用投诉，也不需要任何特殊策略。新手请从这里开始。
• 守卫（入口）中继（Guard relay）——线路（circuit）里的第一跳。一个中继在足够长的时间里保持稳定且快速之后，会被目录授权节点（directory authorities）自动提升为 Guard；这不是你能主动选择加入的。Guard 能看到客户端的 IP，但看不到目的地，并且和中间中继一样，基本不会产生滥用投诉邮件。
• 出口节点（Exit relay）——最后一跳，代表用户连接到目的地。由于目的地看到的是出口节点的 IP，所有流经它的流量所引发的滥用报告、扫描告警，以及偶尔出现的法律通知，都会落到这个 IP 头上。出口节点是最稀缺、最有价值的中继，运维要求也最高。

CryptoVpsHost 三种都允许。在我们的可接受使用政策里，Tor 中继和出口节点被明确列为允许，与 I2P、混合网络（mixnet）、VPN 出口和加密货币节点并列。我们不主动监控内容，只在收到对我们设在圣基茨和尼维斯的运营实体拥有管辖权的法院所下达的有约束力的司法命令时才会行动，并且会先通知客户，同时每月发布一次金丝雀声明（warrant canary）。唯一的硬性底线是 CSAM（儿童性虐待材料）。如果你想运行出口节点，又不想自己变成滥用投诉处理窗口，请看我们专门的 Tor 出口节点托管页面，并慎重选择司法管辖区。

Tor 中继不像构建服务器那样吃 CPU，但 AES 和线路握手（circuit handshake）的加密运算确实需要稳定的 CPU，而最关键的是，它需要带宽和一个稳定的 IP。Tor 按实测吞吐量给中继分配权重，所以能转发更多流量的中继，承载的网络流量占比也相应更高。内存和磁盘几乎无关紧要——中继几乎不碰磁盘，只占用几百 MB 内存。

• 小型中间中继 / 学习用途——S1（2 vCPU / 4 GB DDR5 / 80 GB NVMe，每月 $5 起）绰绰有余。用 RelayBandwidthRate 5 MBytes 限一下速，你就有了一个有用、免维护的中继。
• 正经的中继或出口节点——S2 Pro（4 vCPU / 16 GB / 320 GB，每月 $15 起）是性价比最高的选择。凭借 10 Gbps 不限流量的上行链路，它能带动一个高速中继，而不会让 CPU 成为瓶颈。大多数运营者想要的就是这个套餐。
• 大容量 / 多个出口节点——S3 Power（8 vCPU / 32 GB / 640 GB，每月 $30 起），或者独立服务器 R1/R2，适合在同一个 MyFamily 下运行多个中继的运营者。

CryptoVpsHost 的所有套餐都包含一个 /64 IPv6 地址段、AMD EPYC 核心，以及最高 10 Gbps 的不限流量网络。网络不限流量，所以不会收到出人意料的带宽账单——但你仍然应该设置 RelayBandwidthRate，让中继对外宣告的是它能长期维持的容量，而不是先冲到一个峰值、然后卡住。请前往 /order/?product=vps 下单，并用 Monero（XMR）付款；余额约 30 秒到账。

不要使用发行版自带的 tor 软件包——它会落后上游好几个月。请添加 Tor 项目的官方软件源，这样才能及时拿到最新的构建和安全修复。在 Debian 13 / Ubuntu 24.04 上：

# become root
apt update && apt install -y apt-transport-https curl gpg

# add the Tor Project signing key
curl -fsSL https://deb.torproject.org/torproject.org/A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89.asc \
  | gpg --dearmor -o /usr/share/keyrings/tor-archive-keyring.gpg

# add the repo (replace 'bookworm' with your codename if needed)
cat > /etc/apt/sources.list.d/tor.list <<'EOF'
deb [signed-by=/usr/share/keyrings/tor-archive-keyring.gpg] https://deb.torproject.org/torproject.org bookworm main
EOF

apt update
apt install -y tor deb.torproject.org-keyring nyx

这会把 tor 安装为一个 systemd 服务，运行在它专属的无特权用户 debian-tor 之下，同时装上 Nyx——后面要用到的终端监控工具。用 tor --version 确认二进制文件是最新的。让这台机器保持打补丁的状态（unattended-upgrades），这样 keyring 和 tor 才能一直保持最新。

中继的全部行为都定义在 /etc/tor/torrc 里。一份最精简而正确的非出口（中间 / Guard）中继配置如下：

# /etc/tor/torrc
Nickname        examplerelay          # 1-19 alphanumerics, your label on the network
ORPort          9001                  # the port other relays connect to
ORPort          [::]:9001             # also listen on IPv6
ContactInfo     tor-admin <at> example <dot> com   # obfuscated; abuse handlers use this

# bandwidth: sustained rate, with a higher short burst
RelayBandwidthRate   8 MBytes
RelayBandwidthBurst  12 MBytes

# OPTIONAL hard monthly cap (uncomment to limit total transfer)
# AccountingMax       8 TBytes
# AccountingStart     month 1 00:00

# group all relays you run so clients never use two in one circuit
MyFamily        $FINGERPRINT1,$FINGERPRINT2

# this node is NOT an exit
ExitRelay 0

关键字段，直白地说：

• ORPort——中继之间通信所用的公开端口。惯例是 9001；任何开放的端口都行。记得在防火墙里放行。
• Nickname——给人看的标签，并不唯一，在各个指标站点上纯粹是装饰。
• ContactInfo——请务必设置。它让处理滥用投诉的人员和 Tor 项目能联系到你，而联系不上的运营者会被降低优先级。邮箱地址要做混淆以防爬虫，但必须保证仍然联系得上。
• RelayBandwidthRate / Burst——Tor 对外宣告的持续速率，以及它允许短时冲到的上限。把速率设成你的链路真正能长期维持的值。
• MyFamily——你运营的每个中继的指纹（首次启动后，可在 /var/lib/tor/fingerprint 里找到你自己的）。它能防止同一个运营者在一条线路里占据两跳。在较新的 Tor 版本上，你也可以改用共享的 FamilyId 文件；MyFamily 依然可用，而且被广泛理解。

重启前先校验配置：tor --verify-config -f /etc/tor/torrc。然后运行 systemctl restart tor@default && systemctl enable tor@default。用 journalctl -u tor@default -f 跟踪日志——几分钟之内，你应该能看到以“Self-testing indicates your ORPort is reachable”开头的那一行，意思是 ORPort 已通过自检，可以从外部访问。

要把中继变成出口节点，请设置 ExitRelay 1 并定义 ExitPolicy。不要什么都放开。最实用、也最少招来滥用投诉的做法，是采用精简出口策略（reduced exit policy）：它会封掉产生绝大多数投诉的端口（SMTP/垃圾邮件、常见的扫描目标、BitTorrent 流量密集的地址段），同时依然放行网页和大多数有用的流量：

ExitRelay 1
IPv6Exit 1

# Tor ships a curated 'reduced' policy — reference it directly:
# https://gitlab.torproject.org/legacy/trac/-/wikis/doc/ReducedExitPolicy
# or hand-roll a conservative one, e.g. web-only:
ExitPolicy accept *:80
ExitPolicy accept *:443
ExitPolicy reject *:25       # block outbound SMTP to kill spam complaints
ExitPolicy reject *:*

关于滥用投诉的预期，实话实说：中间中继基本零投诉。一个跑在繁忙 IP 上的精简策略出口节点，通常每天会招来几份到几十份自动报告——DMCA 通知、蜜罐发来的暴力破解 / 扫描告警，偶尔还有反欺诈团队的邮件。完全放开的出口节点则可能招来数百份，并且很快就会让这个 IP 被列入黑名单。以下缓解措施行之有效：

• 让出口节点跑在一个不托管任何其他东西的专用 IP 上，并在 80 端口发布一份 DNS / 网页出口说明，让其他网络的运营者一眼认出这是 Tor 出口。
• 慎重选择司法管辖区——请参阅我们的离岸托管地区；冰岛（无强制性数据留存）和瑞士（FADP，不属于十四眼联盟）是运行出口节点的热门选择。
• 设置真实有效的 ContactInfo，并及时回复滥用投诉邮件；认真负责的运营者很少出问题。

CryptoVpsHost 自己不会转发、监控这些投诉，也不会据此采取行动——我们不做内容监控，只响应来自圣基茨和尼维斯法院、经合法送达的司法命令，并且会先通知你。但上游网络的滥用投诉处理方依然会给登记在案的 ContactInfo 发邮件，所以请把出口节点放在你有能力处理这些邮件的地方运行。唯一绝对禁止的是 CSAM；关于它以及其他网络滥用规则，请参阅可接受使用政策摘要。

中继上线后，用我们前面装好的 Nyx（arm 的继任者）实时查看它的状态。请以 tor 用户的身份运行，这样它才能读取控制套接字（control socket）：

sudo -u debian-tor nyx

Nyx 会实时显示相对于你设置的 RelayBandwidthRate 的上传 / 下载速率、当前连接数、线路角色、日志末尾，以及你的中继标志（Running、Stable、Fast、Guard、Exit）。如果带宽曲线恰好平躺在你配置的速率上，说明已经跑满，可以考虑调高上限；如果它始终爬不上去，可能是中继还处在爬坡阶段（新中继要在最初的 1 到 2 周里逐步赢得信任和流量）。

想从外部验证，可以到 Tor Metrics（metrics.torproject.org/rs.html）上用指纹查询你的中继——它能确认你的中继已经发布在共识（consensus）里，显示目录授权节点分配给它的标志，并绘制出你宣告的带宽曲线。一个健康的中间中继会在几天之内拿到 Stable 和 Fast 标志；Guard 则需要更长时间。再搭配基本的主机监控（简单检查一下 systemctl is-active tor@default 即可），这样守护进程挂了你也能第一时间知道。想进一步加固底层服务器，请看我们的 VPS 加固指南。