Как запустить узел или мост Tor на офшорном VPS

Запуск узла Tor — одно из немногих действий, которое улучшает приватность не вашу, а чужую. С программной частью всё просто: один пакет, десяток строк конфигурации, перезапуск. А вот на выборе VPS для узла Tor многие спотыкаются: большинство хостеров либо запрещают ретрансляторы, либо тарифицируют трафик так, что держать узел становится бессмысленно, либо блокируют сервер по null-route при первой же жалобе на злоупотребление.

Что такое узел Tor на самом деле — сторожевой, промежуточный, мост и выходной

Клиент Tor строит цепочку через три узла, поэтому ни одна отдельная машина не видит одновременно, кто вы и куда вы направляетесь. Это работает только потому, что эти машины держат волонтёры. У четырёх ролей совершенно разные требования к пропускной способности и разные юридические риски.

• Сторожевой узел (guard, точка входа) — первый хоп. Видит IP клиента, но никогда — пункт назначения. Флаг Guard присваивается только после того, как узел докажет свою стабильность.
• Промежуточный узел — второй хоп. Не видит ни клиента, ни пункт назначения, только два других узла. Самая безопасная роль, с которой начинает большинство.
• Выходной узел — последний хоп. Трафик покидает сеть Tor через ваш IP, поэтому именно ваш сервер видит внешний мир. Реальный юридический риск.
• Мост — точка входа, не указанная в публичном списке узлов, для тех, у кого правительство или провайдер блокирует Tor. Требует совсем немного пропускной способности.

Если сомневаетесь — запускайте промежуточный узел или мост. Ни в том, ни в другом случае ваш IP не оказывается в конце чужого трафика, а роль можно поменять позже, отредактировав один файл.

Почему именно VPS под вашим узлом Tor решает, будет ли от него польза

Tor не распределяет трафик поровну. Директорные серверы (directory authorities) измеряют каждый узел и присваивают ему вес консенсуса (consensus weight); клиенты выбирают узлы пропорционально этому весу. Узел на канале с ограничением скорости или лимитом трафика измеряется как медленный, получает низкий вес и практически не несёт нагрузки. Железо здесь почти не имеет значения — узел решает сетевую задачу, а не вычислительную, — а вот канал и политика вокруг него имеют значение.

• Трафик, безлимитный на практике. Узел, устойчиво отдающий 20 Mbit/s, перегоняет терабайты в месяц в каждую сторону; на тарифе с лимитом это счёт за перерасход, а не вклад в сеть.
• Хостер, который терпит инфраструктуру приватности. Многие провайдеры в своих условиях ставят узлы Tor в один ряд со спамом, а затем блокируют аккаунт при первой же жалобе.
• Стабильный аптайм. Вес консенсуса и флаг Guard набираются медленно и обнуляются, как только узел исчезает из сети, поэтому сервер, который перезагружается каждую неделю, никогда их не накопит.

Выбор VPS для узла Tor: мост, промежуточный узел или сторожевой на 10 Gbps

Подбирайте тариф под роль, а не под бюджет. Каждый тариф линейки офшорных VPS поставляется с безлимитным трафиком, одним IPv4 и блоком /64 IPv6, так что реальная разница между уровнями — это скорость порта и запас по нагрузке.

• Мост или скромный промежуточный узел: начальный VPS за $3.99/mo — 1 vCPU EPYC, 2 GB DDR5 ECC, 30 GB NVMe Gen4, безлимитный порт 1 Gbps.
• Серьёзный промежуточный или сторожевой узел: VPS-8 за $13.99/mo — 4 vCPU, 8 GB и безлимитный порт 2 Gbps, больше, чем сеть отправляет узлу со средним весом.
• Узел с высоким весом консенсуса: линейка 10 Gbps от $34.99/mo — выделенный порт 10 Gbps за 4 vCPU EPYC и 8 GB; $69.99/mo — вдвое больше.

Процессор становится узким местом только при высокой пропускной способности, где TLS и криптография узла съедают такты. Если вы держите несколько узлов, выделенный сервер от $64/mo снимает вопрос соседей по хосту. Локация тоже важна: 14 регионов, 8 из них privacy-tier — Амстердам, Бухарест, Цюрих, Рейкьявик, Хельсинки, Люксембург, Куала-Лумпур и Москва, — а распределение узлов по разным сетям идёт на пользу самой сети.

Шаг за шагом: от пополнения в криптовалюте до работающего узла

1. 01Создайте аккаунт на одноразовый emailEmail и пароль. Ни имени, ни телефона, ни документов — с нашей стороны ничего не связывает узел с вами.
2. 02Пополните баланс в криптовалютеПополните предоплаченный баланс через Bitcoin, Monero или любую из 8 монет. Он никогда не сгорает и никогда не замораживается.
3. 03Разверните VPSВыберите тариф, регион и образ Debian или Ubuntu. Root-доступ в среднем готов примерно за минуту.
4. 04Установите Tor из репозитория Tor ProjectНе берите пакет из репозитория дистрибутива — он отстаёт по версии. Подключите официальный apt-репозиторий, чтобы обновления безопасности приходили вовремя.
5. 05Напишите torrc и откройте ORPortЗадайте роль, порт, никнейм и контактный адрес, затем откройте этот порт в файрволе.
6. 06Перезапустите tor и прочитайте логВ логе появится сообщение о публикации дескриптора, а как только будет подтверждена доступность — сообщение, что теперь всё в порядке.

Пишем torrc: ORPort, Nickname, ContactInfo и лимиты

Вся конфигурация умещается в одном файле, и не-выходному узлу в нём почти ничего не нужно. Важнее всего параметры, которые определяют, сколько от вашего канала может забрать Tor.

• ORPort — порт, к которому подключаются другие узлы и клиенты. Обычно используют 443 или 9001; 443 достаёт пользователей за файрволами, которые пропускают только веб-порты.
• Nickname — короткая публичная метка. Она попадает в публичный список узлов, поэтому выбирайте то, что вас не идентифицирует.
• ContactInfo — адрес, по которому Tor Project может с вами связаться. Он публикуется, поэтому используйте отдельный, выделенный под это адрес.
• ExitRelay 0 — явный переключатель, который удерживает вас в статусе не-выходного узла. Задайте его осознанно, а не полагайтесь на значения по умолчанию.
• RelayBandwidthRate и RelayBandwidthBurst — устойчивый потолок и допустимый всплеск, чтобы Tor никогда не вытеснял остальные процессы на сервере.
• MyFamily — отпечатки (fingerprints) всех остальных узлов, которые вы держите, чтобы клиенты никогда не строили цепочку сразу через две ваши машины.

Альтернатива: мост obfs4 для пользователей за цензурой

Чтобы помочь людям в странах, где Tor блокируется, мост даёт больше пользы на доллар, чем обычный узел. Мосты не входят в публичный консенсус, поэтому цензор не может просто скачать список узлов и заблокировать все адреса. Подключаемый транспорт (pluggable transport) вроде obfs4 идёт ещё дальше: он оборачивает соединение так, что анализ трафика не видит узнаваемого хендшейка Tor.

Настройка сводится к флагу режима моста, строке плагина, указывающей на obfs4proxy, и второму порту. Требования к трафику настолько скромные, что хватает самого дешёвого тарифа линейки офшорных VPS, — это делает мост самым выгодным вкладом, который может сделать большинство людей. Две оговорки: мосты в сетях с плотным надзором всё же обнаруживают, а мост, чей адрес вы выложили публично, перестал быть мостом.

Безлимитные порты, добросовестное использование и реальное потребление узла

Загруженный узел работает на пределе круглые сутки, в обе стороны, — именно тот профиль нагрузки, от которого тарифы «unlimited» на самом деле защищаются в своих условиях. Тарифы 10 Gbps Unmetered дают выделенный порт, действительно безлимитный трафик в рамках добросовестного использования, без доплаты за терабайты и с фильтрацией DDoS на 1.2 Tbps, оплата почасовая или помесячная. Будьте честны с собой насчёт потолка, которого вы достигнете: Tor Project считает узел достойным появления в списке начиная примерно с 16 Mbit/s в каждую сторону.

Стоит ли запускать выходной узел? Честный ответ

Скорее всего нет, и уж точно не первым делом. Выходной узел ставит IP вашего сервера в конец чужого трафика. Жалобы приходят — уведомления об авторских правах, отчёты о сканировании, иногда запрос от правоохранительных органов — и адресованы они тому, кто держит этот адрес. Даже в регионах со смягчённым DMCA это работа, на которую вы подписываетесь сами, а наш AUP всё равно запрещает по-настоящему вредоносные категории — независимо от того, что именно нёс через себя Tor.

Если всё же решитесь: используйте IP, на котором больше ничего не размещено, опубликуйте понятное exit-уведомление и настройте урезанную exit-политику вместо стандартной. Выходные узлы нужны, и их не хватает — но это операционное обязательство, а не проект на выходные.

Как оставить узел не связанным с вами

Узел публичен по своей природе, но ничто не обязывает хостинг-аккаунт за ним нести вашу личность. Хостинг без KYC полностью убирает этот слой: email и пароль, без верификации, в деле нечего запрашивать и нечему утекать. Оплата с криптобаланса убирает банк из уравнения.

Насколько далеко вы зайдёте в вопросах оплаты — это вопрос вашей модели угроз. Bitcoin псевдонимен, а не анонимен — леджер публичен и постоянен, поэтому монеты, прослеженные до верифицированной биржи, всё равно куда-то приводят. Пополнение через Monero закрывает этот разрыв на уровне протокола. В любом случае IP, с которого вы администрируете сервер, — единственное, что не скроет никакая политика: заходите через Tor или через туннель WireGuard, который контролируете вы сами.

Разгон, мониторинг и ошибки, из-за которых узел простаивает

Новые узлы поначалу почти игнорируются. Директорные серверы должны измерить ваш узел, прежде чем доверить ему трафик, так что первые день-два ждите почти ничего, затем — медленный рост; для сторожевого узла дольше, поскольку его флаг зависит от истории стабильности. Перезапуск сбрасывает этот прогресс. Проверьте свой узел по отпечатку (fingerprint) на сайте метрик Tor Project, чтобы убедиться, что его видно. Причины, из-за которых узел простаивает, банальны:

• ORPort заблокирован файрволом, поэтому проверка доступности никогда не проходит, а дескриптор так и не публикуется.
• RelayBandwidthRate оставлен слишком низким, что ограничивает измеренную пропускную способность, а значит, и вес консенсуса.
• Несколько узлов одного оператора без настроенного MyFamily — это активно вредит анонимности клиентов.

Что запуск узла даёт вам — а чего не даёт

Будьте честны насчёт того, что вы получаете. Узел не анонимизирует ваш собственный трафик и не даёт вам никакого особого отношения со стороны сети. Это вклад в пользу других людей. Если вам нужна приватность для себя — это другая задача: VPN, который вы держите сами, нода Monero или сайт, размещённый без KYC. Всё, что нужно узлу, — это хостер, который не будет с вами бороться: порт, безлимитный на практике, и способ оплаты, не требующий вашей личности.