教程
如何在离岸 VPS 上运行 Tor 中继或 bridge
运行 Tor 中继，是少数几件能改善他人隐私、而非自己隐私的事情之一。软件层面很简单：一个软件包、十几行配置、重启一次即可。真正让人栽跟头的是为 Tor 中继挑选 VPS——因为大多数主机商要么禁止运行中继，要么对本该让中继派上用场的带宽计量收费，要么一接到滥用投诉表单就把机器 null-route 掉。
Tor 中继究竟是什么——guard、middle、bridge 与 exit
Tor 客户端会通过三个中继搭建一条线路，因此没有任何一台机器能同时看到你是谁、又要去往何处。这一点之所以成立，全靠有志愿者在运行这些机器。这四种角色的带宽需求和法律风险截然不同。
- Guard（入口）中继——第一跳。能看到客户端 IP，但看不到目的地。只有中继证明自身稳定后，才会获得 Guard 标记。
- Middle 中继——第二跳。既看不到客户端，也看不到目的地，只能看到另外两个中继。这是最安全的角色，也是大多数人入门的起点。
- Exit 中继——最后一跳。流量从你的 IP 离开网络，因此你的服务器就是外部世界所看到的一切。真正的法律风险由此而来。
- Bridge——一个不出现在公开中继列表中的入口节点，专为政府或 ISP 封锁 Tor 的用户而设。所需带宽很小。
如果拿不准，就运行一个 middle 中继或 bridge。这两种角色都不会把你的 IP 暴露在别人流量的终点，而且以后只需编辑一个文件，就能随时切换角色。
为什么 Tor 中继背后的 VPS 决定了它是否有用
Tor 不会平均分配流量。目录权威机构会测量每一个中继，并据此赋予一个共识权重（consensus weight）；客户端按这个权重的比例挑选中继。一个跑在限速或封顶线路上的中继会被测出速度慢，权重也随之偏低，几乎承担不了什么流量。硬件本身没那么重要——中继是网络任务，不是算力任务——真正重要的是带宽本身，以及围绕它的政策。
- 实际上不限流量的传输。一个维持 20 Mbit/s 的中继，双向每月都会跑出几个 TB 的流量；放在按量计费的套餐上，这不是贡献，而是一张超额账单。
- 一个容忍隐私基础设施的主机商。许多服务商会在条款里把 Tor 中继和垃圾邮件相提并论，一旦收到第一份投诉就直接封停。
- 稳定的在线时长。共识权重和 Guard 标记的积累都很慢，中继一旦下线就会清零，因此一台每周都要重启的机器永远也积累不起来。
为 Tor 中继选择 VPS：bridge、middle 还是 10 Gbps guard
套餐要匹配角色，而不是匹配预算。离岸 VPS系列的每个套餐都提供不限流量的带宽、一个 IPv4 和一个 /64 IPv6 地址段，因此各档位之间真正的区别在于端口速率和余量。
- Bridge 或轻量 middle 中继：入门级 VPS $3.99/mo——1 vCPU EPYC、2 GB DDR5 ECC、30 GB NVMe Gen4、不限流量的 1 Gbps 端口。
- 认真运营的 middle 或 guard 中继：VPS-8 $13.99/mo——4 vCPU、8 GB，以及不限流量的 2 Gbps 端口，超过网络会分配给中等权重中继的流量。
- 高共识权重中继：10 Gbps 系列起价 $34.99/mo——4 vCPU EPYC 与 8 GB 之上配一个专用 10 Gbps 端口；$69.99/mo 的套餐将其翻倍。
只有在高吞吐量场景下 CPU 才会成为瓶颈，因为 TLS 与中继加密会消耗算力周期。如果你要同时运行多个中继，起价 $64/mo 的独立服务器能彻底消除"邻居"这个变量。位置也很重要：14 个地区中有 8 个是隐私优先节点——Amsterdam、Bucharest、Zurich、Reykjavík、Helsinki、Luxembourg、Kuala Lumpur 和 Moscow——把中继分散到不同网络中，也有利于整个网络。
分步指南：从加密货币充值到中继上线运行
- 01用一次性邮箱注册账户只需邮箱和密码。不需要姓名、电话或证件，我们这边也就没有任何东西能把中继和你本人关联起来。
- 02用加密货币为余额充值用比特币、门罗币或另外 8 种币种为预付余额充值。余额永不过期，也不会被冻结。
- 03部署 VPS选择套餐、地区和 Debian 或 Ubuntu 镜像。中位部署时间约一分钟，root 权限随即可用。
- 04从 Tor Project 官方仓库安装 Tor避开发行版自带的软件包——它更新滞后。添加官方 apt 仓库，安全更新才能及时送达。
- 05编写 torrc 并开放 ORPort设置角色、端口、昵称和联系地址，然后在防火墙里放行该端口。
- 06重启 tor 并查看日志日志会显示它已发布自己的描述符（descriptor），一旦可达性确认完成，还会显示一切运行良好。
编写 torrc：ORPort、Nickname、ContactInfo 与各项限制
整套配置就在一个文件里，非 exit 中继需要写的内容并不多。真正重要的是那些控制 Tor 能占用多少线路资源的参数。
- ORPort——其他中继和客户端连接的端口。常用 443 和 9001；443 能触达那些只放行网页端口的防火墙背后的用户。
- Nickname——一个简短的公开标签。它会出现在公开中继列表里，所以要选一个不会暴露你身份的名字。
- ContactInfo——Tor Project 联系你所用的地址。它是公开的，所以要用一个专用地址。
- ExitRelay 0——明确把自己设为非 exit 中继的开关。要主动设置它，而不是依赖默认值。
- RelayBandwidthRate 与 RelayBandwidthBurst——一个持续上限和一个突发额度，让 Tor 永远不会挤占整台机器的其余资源。
- MyFamily——你运行的每一个其他中继的指纹（fingerprint），这样客户端就不会把线路建在你自己的两台机器之间。
换个方式：为身处审查之下的用户运行 obfs4 bridge
要帮助身处封锁 Tor 的国家的用户，bridge 比中继的每一美元产出更高。bridge 不在公开共识列表中，审查者无法下载中继列表并逐一封锁地址。像 obfs4 这样的可插拔传输（pluggable transport）更进一步，把连接包装起来，让流量分析看不到任何可识别的 Tor 握手特征。
配置只需要一个 bridge 模式开关、一行指向 obfs4proxy 的插件配置，再加一个端口。带宽需求小到离岸 VPS系列里最便宜的套餐就够用，这也让 bridge 成为大多数人性价比最高的贡献方式。有两点要提醒：在监控严密的网络里，bridge 确实会被发现；而一旦你把 bridge 地址公开发布出去，它就不再是 bridge 了。
不限流量端口、公平使用与中继实际消耗的资源
一个繁忙的中继会全天候双向跑满带宽上限——这正是那些"不限量"套餐条款特意要排除的使用场景。10 Gbps Unmetered套餐配备专用端口，在公平使用原则下真正做到不限流量，没有按 TB 计算的超额费用，还有 1.2 Tbps 的 DDoS 清洗能力，按小时或按月计费。也要对自己诚实：Tor Project 建议中继至少要达到约 16 Mbit/s 的双向带宽，才值得被列入名单。
要不要运行 exit 节点？诚实的答案
大概率不该运行，至少不该是你的第一步。exit 中继会把你服务器的 IP 暴露在别人流量的终点。投诉会随之而来——版权通知、扫描报告，偶尔还有执法机构的询问——都会寄给这个地址的运营者。即便在DMCA 宽松地区，这也是你主动揽下的工作；而我们的AUP依然禁止那些真正有害的类别，不管 Tor 传输的是什么内容。
如果你还是决定运行：用一个不承载任何其他业务的 IP，公开发布清晰的 exit 声明，并采用收紧过的 exit 策略，而不是默认策略。exit 节点确实稀缺、确实被需要——但这是一项长期运营承诺，不是周末项目。
让中继与你本人脱钩
中继在设计上就是公开的，但运营它的托管账户没有理由必须携带你的身份信息。无 KYC 主机能彻底去掉这一层：一个邮箱、一个密码，无需验证，也没有任何资料可供索取或泄露。用加密货币余额付款，则去掉了银行这一环。
支付这一侧要做到什么程度，取决于你的威胁模型。比特币是化名制，不是匿名的——账本公开且永久保存，追溯到已实名验证的交易所的币，最终还是能牵出线索。用门罗币充值能在协议层面补上这个漏洞。但无论哪种方式，唯一没有任何政策能隐藏的，是你用来管理服务器的那个 IP：要么通过 Tor 访问，要么通过你自己掌控的WireGuard 隧道访问。
爬坡期、监控，以及会让中继闲置的那些错误
新中继起初几乎无人问津。权威机构必须先测量你的中继，才会放心把流量交给它，所以头一两天几乎没有流量，之后才会缓慢爬升——guard 要更久，因为它的标记取决于一段稳定运行的记录。重启会让这个进度清零。可以在 Tor Project 的指标站点上按指纹查找你的中继，确认它已被看到。让中继闲置的失误往往很平常：
- ORPort 被防火墙挡住，导致可达性测试始终无法成功，描述符也就永远不会发布。
- RelayBandwidthRate 设得太低，把测得的带宽、进而把共识权重也一起封了顶。
- 一个人运行多个中继却没有设置 MyFamily——这会实实在在损害客户端的匿名性。
运行中继能为你带来什么——又不能带来什么
把这个好处说清楚。中继不会让你自己的流量变得匿名，也不会让网络给你任何特殊待遇。它是给别人的一份贡献。如果你想要的是自己的隐私，那是另一件事：一个自己搭建的 VPN、一个门罗节点，或者一个无需 KYC 托管的网站。中继真正需要的，是一个不会跟你对着干的主机商：一个实际上不限流量的端口，以及一条不要求你交出身份的付款路径。
