Tor-Relay oder -Bridge auf einem Offshore-VPS betreiben

Ein Tor-Relay zu betreiben ist eine der wenigen Sachen, mit denen Sie die Privatsphäre anderer verbessern, nicht die eigene. Die Software-Seite ist einfach: ein Paket, ein Dutzend Zeilen Konfiguration, ein Neustart. Der Stolperstein ist die Wahl des VPS, denn die meisten Hoster verbieten Relays entweder ganz, drosseln die Bandbreite, die ein Relay erst sinnvoll macht, oder null-routen die Box beim ersten Abuse-Formular.

Was ein Tor-Relay eigentlich ist — Guard, Middle, Bridge und Exit

Ein Tor-Client baut einen Kanal (Circuit) über drei Relays auf, sodass keine einzelne Maschine sowohl weiß, wer Sie sind, als auch, wohin Sie unterwegs sind. Das funktioniert nur, weil Freiwillige diese Maschinen betreiben. Die vier Rollen unterscheiden sich stark in Bandbreiten- und Rechtsprofil.

• Guard-Relay (Eingang) — der erste Hop. Sieht die IP des Clients, nie das Ziel. Das Guard-Flag kommt erst, wenn ein Relay seine Stabilität bewiesen hat.
• Middle-Relay — der zweite Hop. Sieht weder Client noch Ziel, nur zwei andere Relays. Die sicherste Rolle, und der Einstieg für die meisten.
• Exit-Relay — der letzte Hop. Der Traffic verlässt das Netzwerk über Ihre IP, sodass die Außenwelt Ihren Server sieht. Echtes rechtliches Risiko.
• Bridge — ein nicht gelisteter Einstiegspunkt, der bewusst aus der öffentlichen Relay-Liste herausgehalten wird, für Menschen, deren Regierung oder ISP Tor blockiert. Braucht sehr wenig Bandbreite.

Im Zweifel: betreiben Sie ein Middle-Relay oder eine Bridge. Bei beiden steht Ihre IP nicht am Ende des Traffics einer anderen Person, und die Rolle lässt sich später mit einer einzigen Datei ändern.

Warum der VPS unter Ihrem Tor-Relay entscheidet, ob es nützlich ist

Tor verteilt den Traffic nicht gleichmäßig. Directory Authorities messen jedes Relay und vergeben ein Consensus Weight; Clients wählen Relays proportional dazu aus. Ein Relay auf einer gedrosselten oder gedeckelten Leitung wird als langsam gemessen, bekommt ein niedriges Gewicht und trägt fast nichts. Die Hardware spielt kaum eine Rolle — ein Relay ist eine Netzwerkaufgabe, keine Rechenaufgabe —, wohl aber die Leitung und die Richtlinien drumherum.

• Ein Transfervolumen, das in der Praxis unmetered ist. Ein Relay mit konstant 20 Mbit/s bewegt in jede Richtung Terabytes pro Monat; bei einem gemessenen Tarif ist das eine Überschreitungsrechnung, kein Beitrag.
• Ein Hoster, der Privacy-Infrastruktur toleriert. Viele Anbieter stellen Tor-Relays in ihren AGB auf eine Stufe mit Spam und sperren dann beim ersten Beschwerdefall.
• Stabile Uptime. Consensus Weight und das Guard-Flag bauen sich nur langsam auf und werden zurückgesetzt, sobald ein Relay verschwindet — eine Box, die wöchentlich neu startet, sammelt so nie etwas an.

Den richtigen VPS für ein Tor-Relay wählen: Bridge, Middle oder 10-Gbps-Guard

Wählen Sie den Plan nach der Rolle, nicht nach dem Budget. Jeder Plan der Offshore-VPS-Reihe kommt mit unmetered Bandbreite, einer IPv4 und einem /64-IPv6-Block, sodass der eigentliche Unterschied zwischen den Stufen in Portgeschwindigkeit und Spielraum liegt.

• Bridge oder bescheidenes Middle-Relay: der Einstiegs-VPS für $3.99/mo — 1 vCPU EPYC, 2 GB DDR5 ECC, 30 GB NVMe Gen4, unmetered 1-Gbps-Port.
• Ernsthaftes Middle- oder Guard-Relay: VPS-8 für $13.99/mo — 4 vCPU, 8 GB und ein unmetered 2-Gbps-Port, mehr, als das Netzwerk einem mittelgewichtigen Relay überhaupt schickt.
• Relay mit hohem Consensus Weight: die 10-Gbps-Reihe ab $34.99/mo — ein dedizierter 10-Gbps-Port hinter 4 vCPU EPYC und 8 GB; $69.99/mo verdoppelt das.

Die CPU wird nur bei hohem Durchsatz zum Engpass, wo TLS und die Relay-Kryptografie Zyklen kosten. Wer mehrere Relays betreibt, umgeht mit einem dedizierten Server ab $64/mo die Frage nach den Nachbarn. Auch der Standort zählt: 14 Regionen, davon 8 Privacy-Tier — Amsterdam, Bucharest, Zurich, Reykjavík, Helsinki, Luxembourg, Kuala Lumpur und Moscow —, und Relays über mehrere Netze zu verteilen, hilft dem Netzwerk insgesamt.

Schritt für Schritt: von der Krypto-Aufladung zum laufenden Relay

1. 01Konto mit einer Wegwerf-E-Mail-Adresse anlegenEine E-Mail-Adresse und ein Passwort. Kein Name, keine Telefonnummer, kein Ausweis — auf unserer Seite verknüpft nichts das Relay mit Ihnen.
2. 02Guthaben in Krypto aufladenLaden Sie ein Prepaid-Guthaben mit Bitcoin, Monero oder einem von 8 Coins auf. Es verfällt nie und wird nie eingefroren.
3. 03VPS bereitstellenWählen Sie einen Plan, eine Region und ein Debian- oder Ubuntu-Image. Root-Zugriff steht im Median nach etwa einer Minute bereit.
4. 04Tor aus dem Repository des Tor Project installierenVerzichten Sie auf das Distributionspaket — es hinkt hinterher. Fügen Sie das offizielle apt-Repository hinzu, damit Sicherheitsupdates zeitnah ankommen.
5. 05torrc schreiben und ORPort öffnenLegen Sie Rolle, Port, Nickname und Kontaktadresse fest und öffnen Sie diesen Port anschließend in der Firewall.
6. 06Tor neu starten und das Log lesenEs protokolliert, dass es seinen Descriptor veröffentlicht hat, und sobald die Erreichbarkeit bestätigt ist, dass alles gut aussieht.

Die torrc schreiben: ORPort, Nickname, ContactInfo und Limits

Die gesamte Konfiguration steckt in einer einzigen Datei, und ein Nicht-Exit-Relay braucht darin nur wenig. Die wichtigsten Werte bestimmen, wie viel Ihrer Leitung Tor beanspruchen darf.

• ORPort — der Port, über den sich andere Relays und Clients verbinden. Üblich sind 443 und 9001; 443 erreicht auch Nutzer hinter Firewalls, die nur Web-Ports zulassen.
• Nickname — eine kurze öffentliche Bezeichnung. Sie erscheint in der öffentlichen Relay-Liste, wählen Sie also etwas, das Sie nicht identifiziert.
• ContactInfo — eine Adresse, über die das Tor Project Sie erreichen kann. Sie wird veröffentlicht, verwenden Sie also eine eigens dafür angelegte.
• ExitRelay 0 — der explizite Schalter, der Sie zum Nicht-Exit-Relay macht. Setzen Sie ihn bewusst, statt sich auf Standardwerte zu verlassen.
• RelayBandwidthRate und RelayBandwidthBurst — eine dauerhafte Obergrenze und ein Burst-Kontingent, damit Tor den Rest der Box nie verdrängt.
• MyFamily — die Fingerprints aller anderen Relays, die Sie betreiben, damit Clients nie einen Kanal über zwei Ihrer Maschinen aufbauen.

Stattdessen eine obfs4-Bridge betreiben, für Nutzer hinter Zensur

Um Menschen in Ländern zu helfen, die Tor blockieren, bringt eine Bridge pro investiertem Dollar mehr als ein Relay. Bridges stehen nicht im öffentlichen Consensus, ein Zensor kann also nicht einfach die Relay-Liste herunterladen und jede Adresse blockieren. Ein Pluggable Transport wie obfs4 geht noch weiter und verpackt die Verbindung so, dass eine Traffic-Analyse keinen erkennbaren Tor-Handshake sieht.

Die Einrichtung besteht aus einem Bridge-Mode-Flag, einer Plugin-Zeile, die auf obfs4proxy zeigt, und einem zweiten Port. Der Bandbreitenbedarf ist so gering, dass der günstigste Plan der Offshore-VPS-Reihe genügt — das macht eine Bridge zum besten Beitrag, den die meisten Menschen leisten können. Zwei Einschränkungen: Bridges in stark überwachten Netzen werden durchaus entdeckt, und eine Bridge, deren Adresse Sie öffentlich posten, hat aufgehört, eine zu sein.

Unmetered-Ports, Fair Use und was ein Relay wirklich verbraucht

Ein stark ausgelastetes Relay läuft rund um die Uhr an seiner Obergrenze, in beide Richtungen — genau das Profil, das "unlimited"-Hosting-Pläne bewusst ausschließen. Die 10 Gbps Unmetered-Pläne bieten einen dedizierten Port, unter Fair Use wirklich unmetered Transfer, keine Überschreitungsgebühr pro Terabyte und 1.2 Tbps DDoS-Schutz, abgerechnet stündlich oder monatlich. Seien Sie ehrlich mit sich, welche Obergrenze Sie erreichen werden: Das Tor Project verlangt in jede Richtung etwa 16 Mbit/s, bevor sich ein Relay-Listing lohnt.

Sollten Sie einen Exit-Node betreiben? Die ehrliche Antwort

Vermutlich nicht, und schon gar nicht als Erstes. Ein Exit-Relay setzt Ihre Server-IP an das Ende des Traffics anderer Leute. Beschwerden treffen ein — Urheberrechtshinweise, Scanning-Reports, gelegentlich eine Anfrage von Strafverfolgungsbehörden — adressiert an denjenigen, der die Adresse betreibt. Selbst in DMCA-entspannten Regionen ist das Arbeit, auf die Sie sich eingelassen haben, und unsere AUP verbietet weiterhin die wirklich schädlichen Kategorien, unabhängig davon, was über Tor lief.

Wenn Sie es trotzdem tun: Nutzen Sie eine IP, auf der sonst nichts gehostet wird, veröffentlichen Sie einen klaren Exit-Notice, und fahren Sie eine reduzierte Exit-Policy statt der Standardeinstellung. Exits werden gebraucht und sind unterversorgt — aber sie sind eine dauerhafte Verpflichtung, kein Wochenendprojekt.

Das Relay von Ihrer Person entkoppelt halten

Das Relay ist per Design öffentlich, aber nichts zwingt das dahinterstehende Hosting-Konto dazu, Ihre Identität zu tragen. No-KYC-Hosting entfernt diese Schicht vollständig: eine E-Mail-Adresse und ein Passwort, keine Verifizierung, nichts in den Akten, das angefragt oder geleakt werden könnte. Die Zahlung aus einem Krypto-Guthaben entfernt die Bank aus der Gleichung.

Wie weit Sie das bei der Zahlung treiben, ist eine Frage des Threat-Modells. Bitcoin ist pseudonym, nicht anonym — das Ledger ist öffentlich und dauerhaft, sodass Coins, die zu einer verifizierten Exchange zurückverfolgt werden, immer noch irgendwohin führen. Das Aufladen in Monero schließt diese Lücke auf Protokollebene. So oder so ist die IP, von der aus Sie administrieren, das eine, was keine Richtlinie verbergen kann: erreichen Sie sie über Tor oder über einen WireGuard-Tunnel, den Sie selbst kontrollieren.

Anlaufphase, Monitoring und die Fehler, die ein Relay untätig lassen

Neue Relays werden anfangs fast ignoriert. Die Authorities müssen Ihres erst vermessen, bevor sie ihm Traffic anvertrauen — rechnen Sie also ein bis zwei Tage mit sehr wenig, dann mit einem langsamen Anstieg, bei einem Guard noch länger, da dessen Flag von einer nachgewiesenen Stabilität abhängt. Ein Neustart setzt diesen Fortschritt zurück. Suchen Sie Ihr Relay anhand des Fingerprints auf der Metrics-Seite des Tor Project, um zu bestätigen, dass es gesehen wird. Die Fehler, die ein Relay untätig lassen, sind meist banal:

• Der ORPort wird von der Firewall blockiert, sodass der Erreichbarkeitstest nie gelingt und der Descriptor nie veröffentlicht wird.
• RelayBandwidthRate viel zu niedrig belassen, wodurch die gemessene Bandbreite und damit das Consensus Weight gedeckelt bleiben.
• Mehrere Relays desselben Betreibers ohne gesetztes MyFamily — aktiv schädlich für die Anonymität der Clients.

Was der Betrieb eines Relays für Sie bewirkt — und was nicht

Seien Sie sich über den Nutzen im Klaren. Ein Relay anonymisiert nicht Ihren eigenen Traffic und verschafft Ihnen keine Sonderbehandlung durch das Netzwerk. Es ist ein Beitrag für andere Menschen. Wenn Sie Privatsphäre für sich selbst wollen, ist das eine andere Aufgabe: ein selbst betriebenes VPN, ein Monero-Node oder eine ohne KYC gehostete Seite. Was ein Relay braucht, ist ein Hoster, der sich nicht querstellt: ein Port, der in der Praxis unmetered ist, und ein Zahlungsweg, der Ihre Identität nicht verlangt.