Comment faire tourner un relais ou un bridge Tor sur un VPS offshore

Faire tourner un relais Tor est l'une des rares choses que vous pouvez faire qui améliore la vie privée de quelqu'un d'autre plutôt que la vôtre. Côté logiciel, c'est simple : un paquet, une douzaine de lignes de configuration, un redémarrage. Ce qui pose problème, c'est le choix du VPS pour un relais Tor, car la plupart des hébergeurs interdisent les relais, plafonnent la bande passante qui justifierait d'en faire tourner un, ou null-routent la machine dès le premier signalement d'abus.

Ce qu'est vraiment un relais Tor — guard, middle, bridge et exit

Un client Tor construit un circuit à travers trois relais, de sorte qu'aucune machine ne voit à la fois qui vous êtes et où vous allez. Cela ne tient que parce que des volontaires font tourner ces machines. Les quatre rôles ont des profils de bande passante et des profils juridiques très différents.

• Relais guard (entrée) — le premier saut. Voit l'IP du client, jamais la destination. L'attribut Guard n'est attribué qu'après qu'un relais a prouvé sa stabilité.
• Relais middle — le second saut. Ne voit ni le client ni la destination, seulement deux autres relais. Le rôle le plus sûr, et celui par lequel la plupart commencent.
• Relais exit — le dernier saut. Le trafic quitte le réseau depuis votre IP, si bien que c'est votre serveur que voit le monde extérieur. Une exposition juridique réelle.
• Bridge — un point d'entrée non répertorié, gardé hors de la liste publique des relais, destiné aux personnes dont le gouvernement ou le fournisseur d'accès bloque Tor. Nécessite très peu de bande passante.

En cas de doute, faites tourner un relais middle ou un bridge. Ni l'un ni l'autre ne placent votre IP au bout du trafic de quelqu'un d'autre, et vous pourrez changer de rôle plus tard en modifiant un seul fichier.

Pourquoi le VPS sous votre relais Tor décide de son utilité

Tor ne répartit pas le trafic de manière uniforme. Les autorités d'annuaire (directory authorities) mesurent chaque relais et lui attribuent un poids de consensus ; les clients choisissent les relais proportionnellement à ce poids. Un relais sur une ligne bridée ou plafonnée est mesuré comme lent, obtient un poids faible et ne transporte presque rien. Le matériel compte à peine — un relais est une tâche réseau, pas une tâche de calcul — mais le tuyau et la politique qui l'entoure, si.

• Un transfert illimité dans les faits. Un relais qui tient 20 Mbit/s déplace des téraoctets par mois dans chaque sens ; sur un plan facturé au volume, cela se traduit par une facture de dépassement, pas par une contribution.
• Un hébergeur qui tolère les infrastructures de confidentialité. Beaucoup de fournisseurs rangent les relais Tor aux côtés du spam dans leurs conditions d'utilisation, puis suspendent au premier signalement.
• Une disponibilité stable. Le poids de consensus et l'attribut Guard se construisent lentement et repartent à zéro quand un relais disparaît, si bien qu'une machine qui redémarre chaque semaine n'en accumule jamais.

Choisir un VPS pour un relais Tor : bridge, middle ou guard 10 Gbps

Adaptez le plan au rôle, pas à votre budget. Chaque plan de la gamme VPS offshore inclut une bande passante illimitée, une IPv4 et un bloc IPv6 /64, si bien que la vraie différence entre les paliers tient à la vitesse du port et à la marge disponible.

• Bridge ou relais middle modeste : le VPS d'entrée à $3.99/mo — 1 vCPU EPYC, 2 GB DDR5 ECC, 30 GB NVMe Gen4, port 1 Gbps illimité.
• Relais middle ou guard sérieux : le VPS-8 à $13.99/mo — 4 vCPU, 8 GB et un port 2 Gbps illimité, plus que ce que le réseau envoie à un relais de poids moyen.
• Relais à fort poids de consensus : la gamme 10 Gbps à partir de $34.99/mo — un port 10 Gbps dédié derrière 4 vCPU EPYC et 8 GB ; à $69.99/mo, tout est doublé.

Le CPU ne devient un goulot d'étranglement qu'à haut débit, là où le TLS et la cryptographie du relais coûtent des cycles. Si vous faites tourner plusieurs relais, un serveur dédié à partir de $64/mo élimine la question du voisinage. La localisation compte aussi : 14 régions, dont 8 privacy-tier — Amsterdam, Bucharest, Zurich, Reykjavík, Helsinki, Luxembourg, Kuala Lumpur et Moscow — et répartir les relais entre plusieurs réseaux profite au réseau.

Étape par étape : d'un rechargement en crypto à un relais opérationnel

1. 01Créez un compte avec un email jetableUn email et un mot de passe. Aucun nom, téléphone ou pièce d'identité, si bien que rien de notre côté ne relie le relais à vous.
2. 02Rechargez votre solde en cryptoAlimentez un solde prépayé en Bitcoin, Monero ou l'une des 8 cryptomonnaies proposées. Il n'expire jamais et n'est jamais gelé.
3. 03Déployez le VPSChoisissez un plan, une région et une image Debian ou Ubuntu. L'accès root est prêt en une minute environ, en médiane.
4. 04Installez Tor depuis le dépôt du Tor ProjectÉvitez le paquet de la distribution — il accuse du retard. Ajoutez le dépôt apt officiel pour que les mises à jour de sécurité arrivent rapidement.
5. 05Rédigez votre torrc et ouvrez l'ORPortDéfinissez le rôle, le port, un nickname et une adresse de contact, puis ouvrez ce port dans le pare-feu.
6. 06Redémarrez tor et lisez le journalIl consigne qu'il a publié son descripteur puis, une fois l'accessibilité confirmée, qu'il est maintenant opérationnel.

Rédiger son torrc : ORPort, Nickname, ContactInfo et limites

Toute la configuration tient dans un seul fichier, et un relais non-exit n'a besoin que de peu de lignes. Les valeurs les plus importantes contrôlent la part de votre ligne que Tor est autorisé à prendre.

• ORPort — le port auquel se connectent les autres relais et les clients. 443 et 9001 sont les valeurs habituelles ; le 443 permet d'atteindre les utilisateurs derrière des pare-feux qui n'autorisent que les ports web.
• Nickname — un court identifiant public. Il apparaît dans la liste publique des relais, choisissez donc quelque chose qui ne vous identifie pas.
• ContactInfo — une adresse que le Tor Project peut utiliser pour vous joindre. Elle est publiée, utilisez donc une adresse dédiée.
• ExitRelay 0 — l'interrupteur explicite qui vous maintient en relais non-exit. Fixez-le délibérément plutôt que de vous fier aux valeurs par défaut.
• RelayBandwidthRate et RelayBandwidthBurst — un plafond soutenu et une marge de rafale, pour que Tor n'accapare jamais le reste de la machine.
• MyFamily — les empreintes (fingerprints) de tous les autres relais que vous faites tourner, pour que les clients ne construisent jamais un circuit passant par deux de vos machines.

Faire tourner un bridge obfs4 à la place, pour les utilisateurs sous censure

Pour aider les personnes dans les pays qui bloquent Tor, un bridge fait plus de bien par dollar qu'un relais. Les bridges ne figurent pas dans le consensus public, si bien qu'un censeur ne peut pas télécharger la liste des relais et bloquer chaque adresse. Un transport enfichable (pluggable transport) comme obfs4 va plus loin, en enveloppant la connexion pour que l'analyse du trafic ne voie aucune poignée de main Tor reconnaissable.

La configuration se résume à un indicateur de mode bridge, une ligne de plugin pointant vers obfs4proxy, et un second port. Les besoins en bande passante sont assez faibles pour que le plan le moins cher de la gamme VPS offshore suffise, ce qui fait du bridge la contribution la plus rentable à la portée de la plupart des gens. Deux réserves : les bridges dans les réseaux fortement surveillés finissent par être découverts, et un bridge dont vous publiez l'adresse en public a cessé d'en être un.

Ports illimités, fair use et ce qu'un relais consomme vraiment

Un relais actif tourne à son plafond en continu, dans les deux sens — exactement le profil que les plans d'hébergement « illimités » sont rédigés pour exclure. Les plans 10 Gbps Unmetered offrent un port dédié, un transfert réellement illimité sous fair use, aucun dépassement facturé au téraoctet et un nettoyage anti-DDoS de 1.2 Tbps, facturés à l'heure ou au mois. Soyez honnête sur le plafond que vous atteindrez : le Tor Project demande environ 16 Mbit/s dans chaque sens avant qu'un relais ne vaille la peine d'être répertorié.

Faut-il faire tourner un nœud exit ? La réponse honnête

Probablement pas, et certainement pas en premier. Un relais exit place l'IP de votre serveur au bout du trafic d'autrui. Les plaintes arrivent — avis de droits d'auteur, signalements de scans, parfois une demande des forces de l'ordre — adressées à quiconque exploite l'adresse. Même dans des régions à DMCA allégé, c'est un travail que vous avez accepté d'assumer, et notre AUP continue d'interdire les catégories réellement nuisibles, quel qu'ait été le trafic transporté par Tor.

Si vous le faites quand même : utilisez une IP qui n'héberge rien d'autre, publiez un avis de sortie (exit notice) clair, et faites tourner une politique de sortie réduite plutôt que celle par défaut. Les exits sont nécessaires et en nombre insuffisant — mais c'est un engagement opérationnel, pas un projet de week-end.

Garder le relais dissocié de vous

Le relais est public par conception, mais rien n'oblige le compte d'hébergement derrière lui à porter votre identité. L'hébergement sans KYC supprime entièrement cette couche : un email et un mot de passe, aucune vérification, rien à demander ou à faire fuiter dans un dossier. Payer depuis un solde en crypto élimine la banque.

Jusqu'où pousser le volet paiement est une question de modèle de menace. Bitcoin est pseudonyme, pas anonyme — le grand livre est public et permanent, si bien que des pièces retracées jusqu'à un exchange vérifié mènent quand même quelque part. Se recharger en Monero comble cet écart au niveau du protocole. Dans tous les cas, l'IP depuis laquelle vous administrez est la seule chose qu'aucune politique ne peut cacher : passez par Tor, ou par un tunnel WireGuard que vous contrôlez.

Montée en puissance, surveillance et les erreurs qui laissent un relais inactif

Les nouveaux relais sont presque ignorés au début. Les autorités doivent mesurer le vôtre avant de lui confier du trafic, attendez-vous donc à très peu de choses pendant un jour ou deux, puis à une lente montée en puissance — plus longue pour un guard, dont l'attribut dépend d'un historique de stabilité. Redémarrer remet ce progrès à zéro. Cherchez votre relais par empreinte (fingerprint) sur le site de métriques du Tor Project pour confirmer qu'il est bien vu. Les défaillances qui laissent un relais inactif sont banales :

• L'ORPort bloqué par le pare-feu, si bien que le test d'accessibilité n'aboutit jamais et que le descripteur n'est jamais publié.
• Un RelayBandwidthRate laissé bien trop bas, plafonnant la bande passante mesurée et donc le poids de consensus.
• Plusieurs relais exploités par un même opérateur sans MyFamily défini — réellement nuisible à l'anonymat des clients.

Ce que faire tourner un relais fait — et ne fait pas — pour vous

Soyez clair sur le bénéfice réel. Un relais n'anonymise pas votre propre trafic et ne vous vaut aucun traitement de faveur de la part du réseau. C'est une contribution destinée à d'autres personnes. Si vous voulez de la confidentialité pour vous-même, c'est une tâche différente : un VPN que vous faites tourner vous-même, un nœud Monero, ou un site hébergé sans KYC. Ce qu'un relais demande, c'est un hébergeur qui ne vous met pas de bâtons dans les roues : un port illimité dans les faits, et un moyen de paiement qui n'exige pas votre identité.