--- title: "Как запустить ретранслятор, мост или onion-сервис Tor на VPS" description: "Промежуточный ретранслятор, мост, выходной узел или onion-сервис Tor на VPS: установка из репозитория Tor Project, настройки torrc, порты, этикет выходных узлов." url: https://offshoreserv.com/ru/docs/vps/tor-relay lang: ru updated: 2026-09-26 source: HTML page at the url above (canonical); this is its Markdown version --- База знаний · VPS # Как запустить ретранслятор, мост или onion-сервис Tor на VPS Запуск ретранслятора Tor на VPS: установите tor из репозитория Tor Project, затем настройте промежуточный ретранслятор, мост obfs4, выходной узел или onion-сервис. Обновлено 26 сентября 2026 г.11 мин чтения В этом руководстве - Устанавливайте tor из собственного репозитория Tor Project — в нём актуальный стабильный выпуск. - Промежуточному или сторожевому ретранслятору нужны псевдоним, публичный контакт, открытый ORPort и параметр ExitRelay 0. - Мост дополнительно использует транспорт obfs4 и не попадает в публичный список ретрансляторов. - Выходному узлу нужны обратная DNS-запись с «tor-exit» в имени, сокращённая политика выхода, страница с уведомлением и локальный DNS-резолвер; кроме того, на него поступают жалобы на нарушения. - Onion-сервис направляет адрес.onion на сайт, работающий на 127.0.0.1; сделайте резервную копию его ключа. VPS9 разделов Чтобы запустить ретранслятор Tor на VPS, установите tor из собственного репозитория Tor Project, пропишите в `/etc/tor/torrc` псевдоним, контакт и ORPort, откройте этот порт в брандмауэре и перезапустите tor. Тот же tor может работать и как мост с транспортом obfs4, выходной узел или onion-сервис для вашего собственного сайта. Шаги рассчитаны на [офшорный VPS](https://offshoreserv.com/ru/offshore-vps) с Debian 12 или 13 либо Ubuntu 22.04 или 24.04 LTS и root-доступом, как в руководстве [по началу работы](https://offshoreserv.com/ru/docs/getting-started). Отводите каждому серверу одну роль: Tor Project не рекомендует размещать onion-сервис на ретрансляторе, а мост не должен использовать адрес публичного ретранслятора. > Не закрывайте SSH-сеанс, пока меняете настройки брандмауэра. Если какое-то правило лишит вас доступа, консоль в личном кабинете по-прежнему позволит подключиться к VPS. ## Перед запуском ретранслятора Tor на VPS: выберите роль | Роль | Что делает | Жалобы на нарушения | Минимум по требованиям Tor Project | С какого тарифа начать | | --- | --- | --- | --- | --- | | Промежуточный или сторожевой ретранслятор | Ретранслирует зашифрованный трафик; со временем может стать сторожевым ретранслятором, то есть первым звеном цепочки | Обычно нет | 10 Мбит/с в каждую сторону, 100 ГБ в месяц, 512 МБ ОЗУ (1 ГБ при скорости выше 40 Мбит/с) | Sloop: 2 ГБ ОЗУ, $3.49 в месяц | | Мост | Неопубликованная точка входа для пользователей в сетях с цензурой | Маловероятны | 1 Мбит/с в каждую сторону | Dinghy: 1 ГБ, $2.39 | | Выходной узел | Последнее звено цепочки: ресурсы назначения видят IP-адрес вашего сервера | Будут поступать | Рекомендуется 1.5 ГБ ОЗУ | Cutter: 4 ГБ, $5.49 | | Onion-сервис | Ваш сайт по адресу.onion, доступный только через Tor | Только по поводу вашего контента | Сколько требует ваш сайт | Dinghy для небольшого сайта | Каждый тариф VPS включает выделенный IPv4-адрес, необходимый ретранслятору, а трафик на наших портах 1 Гбит/с безлимитный в рамках принципа добросовестного использования. Если загруженный ретранслятор создаёт проблемы на VPS, мы сначала сообщим вам об этом в личном кабинете и предложим решение. Ограничьте tor, как показано ниже, или перенесите быстрый ретранслятор на [выделенный сервер](https://offshoreserv.com/ru/offshore-dedicated-servers), который можно загружать на всю заявленную пропускную способность. Наши [правила допустимого использования](https://offshoreserv.com/ru/acceptable-use-policy) приветствуют ретрансляторы и мосты и разрешают выходные узлы, которые работают по рекомендациям Tor Project. Адреса ретрансляторов и указанные в них контакты публичны: если ретранслятор не должен указывать на вас, прочитайте, [как купить VPS анонимно](https://offshoreserv.com/ru/blog/buy-a-vps-anonymously). От локации зависит, законы какой страны применяются, а задержку можно сравнить на [странице о сети](https://offshoreserv.com/ru/network). ## Установка Tor из репозитория Tor Project Tor Project [рекомендует собственный репозиторий](https://support.torproject.org/apt/tor-deb-repo/), а не LTS-версию из Debian и пакеты из раздела universe в Ubuntu, которые «обновлялись ненадёжно». В нём доступна текущая стабильная серия 0.4.9: ``` apt update apt install -y apt-transport-https gnupg wget wget -qO- https://deb.torproject.org/torproject.org/A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89.asc | gpg --dearmor | tee /usr/share/keyrings/deb.torproject.org-keyring.gpg >/dev/null . /etc/os-release cat > /etc/apt/sources.list.d/tor.sources < /etc/tor/tor-exit-notice.html ``` Затем отредактируйте фрагменты с пометкой FIXME: имя хоста, контактный адрес и раздел только для США, который операторы за пределами США удаляют. ### 3. Настройте выходной узел ``` Nickname myExitRelay ContactInfo YOUR_CONTACT_ADDRESS ORPort 443 DirPort 80 DirPortFrontPage /etc/tor/tor-exit-notice.html ExitRelay 1 ReducedExitPolicy 1 SocksPort 0 ``` Сокращённая политика пропускает около 65 портов, в том числе веб, защищённую почту и SSH, но не порт 25, который в нашей сети и так закрыт по умолчанию. Строки `ExitPolicy` применяются первыми, поэтому строка `ExitPolicy reject *:22` заблокировала бы и SSH; `IPv6Exit 1` добавляет IPv6. DirPort по-прежнему отдаёт уведомление, хотя ретрансляторы больше не публикуют этот порт. ### 4. Запустите локальный DNS-резолвер и узел Выходные узлы разрешают имена для пользователей Tor, поэтому Tor Project просит использовать локальный кэширующий резолвер с проверкой DNSSEC; в его [инструкциях для Debian и Ubuntu](https://community.torproject.org/relay/setup/exit/debian-ubuntu/) используется Unbound. Добавленная нами команда `rm` важна в Ubuntu, где `/etc/resolv.conf` — это ссылка systemd-resolved: systemd-resolved лишь читает обычный файл, положенный на её место, как описано в его [руководстве](https://manpages.ubuntu.com/manpages/noble/en/man8/systemd-resolved.service.8.html). ``` apt install -y unbound systemctl enable --now unbound cp /etc/resolv.conf /etc/resolv.conf.backup rm -f /etc/resolv.conf echo nameserver 127.0.0.1 > /etc/resolv.conf chattr +i /etc/resolv.conf ufw allow 443/tcp ufw allow 80/tcp systemctl restart tor@default ``` По умолчанию Unbound отвечает только на localhost; оставьте так, поскольку открытый резолвер нарушает наши правила допустимого использования. После этого по адресу `http://SERVER_IP/` должно открываться уведомление. ### Как мы рассматриваем жалобы на ваш выходной узел Жалобы на трафик, который пользователи Tor передают через ваш выходной узел, рассматриваются в рамках нашего обычного [порядка работы с жалобами](https://offshoreserv.com/ru/dmca-policy) и не ведут к автоматической приостановке. Каждая жалоба проверяется на соответствие законодательству страны, где работает сервер; на иностранные уведомления, включая американские уведомления DMCA, мы отвечаем, но не исполняем их, а их суть можем передать вам в личном кабинете. Если у вас выделенный или GPU-сервер, сообщите нам через тикет до запуска выходного узла, чтобы мы могли быстро перенаправлять жалобы вам. > Это не иммунитет. Действительное решение суда страны, где находится сервер, а в наших локациях в ЕС — уведомление, отвечающее требованиям Закона ЕС о цифровых услугах, всё равно могут потребовать принятия мер; вас уведомят, и вы сможете сначала ответить, если только суд этого не запрещает. То, что вы запускаете сами, например атаки, спам или сканирование, подпадает под правила нулевой терпимости. ## Размещение onion-сервиса Tor (скрытого сервиса) Onion-сервис — или скрытый сервис Tor, как он называется в настройках tor, — публикует сайт по адресу.onion, который работает только через Tor. Открытые порты ему не нужны, поскольку tor устанавливает только исходящие соединения, поэтому сайт слушает только 127.0.0.1. Установите nginx, удалите его сайт по умолчанию, который отвечает на всех адресах, и отдавайте страницы локально: ``` apt install -y nginx rm /etc/nginx/sites-enabled/default mkdir -p /var/www/onion echo 'Hello from my onion site' > /var/www/onion/index.html cat > /etc/nginx/conf.d/onion.conf <<'EOF' server { listen 127.0.0.1:8080; root /var/www/onion; server_tokens off; } EOF nginx -t systemctl reload nginx ``` Добавьте в `torrc` две строки из [руководства Tor Project по onion-сервисам](https://community.torproject.org/onion-services/setup/), перезапустите tor и узнайте свой адрес: ``` HiddenServiceDir /var/lib/tor/my-website/ HiddenServicePort 80 127.0.0.1:8080 ``` ``` systemctl restart tor@default cat /var/lib/tor/my-website/hostname ``` Откройте его в Tor Browser. Размещайте каталог внутри `/var/lib/tor`, где у службы tor есть право на запись. Файл `hs_ed25519_secret_key` в нём — это и есть ваш адрес, поскольку имя.onion — это его открытый ключ: любой, кто скопирует файл, сможет выдавать себя за ваш сервис, а потеряв его, вы потеряете и адрес, поэтому сделайте резервную копию, как показано ниже. ### Не допускайте утечки адреса сервера - Держите порты 80 и 443 закрытыми, чтобы страницы нельзя было найти по публичному IP-адресу сервера. - Скройте баннеры с версиями, подробности ошибок, страницы состояния и отладочный вывод, например `phpinfo()` в PHP: всё это может раскрыть настоящее имя и адрес сервера. - Следите за исходящими соединениями — DNS-запросами, отправкой почты или загрузкой URL по запросу посетителей: они идут с вашего настоящего IP-адреса, как объясняет [руководство Riseup по onion-сервисам](https://riseup.net/en/security/network-security/tor/onionservices-best-practices). Остальное описано на [странице Tor Project об операционной безопасности](https://community.torproject.org/onion-services/advanced/opsec/). ### Анонс onion-адреса на публичном сайте (необязательно) Если сайт также работает публично по HTTPS, эта строка в его блоке server для HTTPS позволяет Tor Browser предлагать onion-адрес, как показано в [руководстве по Onion-Location](https://community.torproject.org/onion-services/advanced/onion-location/). Она связывает два адреса: это допустимо для публичного зеркала, но недопустимо для анонимного сервиса. ``` add_header Onion-Location http://YOUR_ONION_ADDRESS.onion$request_uri; ``` ## Обслуживание ретранслятора Tor ### Автоматические обновления Настройте unattended-upgrades из [руководства по усилению защиты](https://offshoreserv.com/ru/docs/security/hardening#updates) так, чтобы обновлялся и tor. Согласно [руководству Tor Project по обновлению](https://community.torproject.org/relay/setup/guard/debian-ubuntu/updates/), на Debian добавьте первую строку в блок `Unattended-Upgrade::Origins-Pattern` файла `/etc/apt/apt.conf.d/50unattended-upgrades`, а на Ubuntu — вторую строку в блок `Unattended-Upgrade::Allowed-Origins`, затем проверьте настройку командой `unattended-upgrade --debug --dry-run`. ``` "origin=TorProject"; "TorProject:${distro_codename}"; ``` ### Резервное копирование В `/var/lib/tor` хранятся ключи идентификации ретранслятора, каталог `pt_state` моста и ключ вашего onion-сервиса; без них переустановленный сервер начнёт работу как новый ретранслятор. Упакуйте этот каталог в архив, как советует Tor Project, и храните файл в зашифрованном виде вне сервера. Для восстановления остановите tor и выполните от имени root команду `tar -xzf tor-backup.tar.gz -C /var/lib` — она сохраняет владельцев и права доступа. ``` tar -czf /root/tor-backup.tar.gz -C /var/lib tor ``` ### Мониторинг с помощью nyx [nyx](https://nyx.torproject.org/) — терминальный монитор от Tor Project — показывает в реальном времени трафик, соединения и события. Пакет tor уже открывает управляющий сокет, через который работает nyx, поэтому запускайте nyx от имени root: ``` apt install -y nyx nyx ``` ### Несколько ретрансляторов: настройка семейства Объявите свои ретрансляторы семейством, чтобы клиенты никогда не использовали два из них в одной цепочке. Начиная с tor 0.4.9 у семейства общий секретный ключ, как описано в [руководстве Tor Project по FamilyId](https://community.torproject.org/relay/setup/post-install/family-ids/), а в руководстве по действиям после установки прежний список `MyFamily` значится как удалённый. Выполните первую команду один раз, на одном ретрансляторе: она записывает `myrelays.secret_family_key` и выводит строку `FamilyId`, а повторный запуск перезапишет ключ. На каждом ретрансляторе установите ключ, добавьте эту строку в `torrc` и перезагрузите конфигурацию. Храните ключ в секрете. ``` tor --keygen-family myrelays install -o debian-tor -g debian-tor -m 600 myrelays.secret_family_key /var/lib/tor/keys/ systemctl reload tor@default ``` ## Устранение неполадок ### tor не запускается Проверьте конфигурацию так же, как это делает служба перед каждым запуском. Проверка выводит то, что отклонено, например опечатку в параметре, недопустимый псевдоним или уже занятый порт (занятые порты показывает `ss -tlnp`): ``` tor --defaults-torrc /usr/share/tor/tor-service-defaults-torrc -f /etc/tor/torrc --verify-config ``` ### ORPort недоступен Сообщение `Your server has not managed to confirm reachability for its ORPort(s)` означает, что порт заблокирован снаружи, и, пока он недоступен, ретранслятор ничего не публикует. Сравните вывод `ufw status` со строкой `ORPort`. Если не работает только IPv6-адрес, исправьте IPv6 или используйте `ORPort 443 IPv4Only`. ## Часто задаваемые вопросы ### Можно ли запустить ретранслятор Tor на VPS? Да. Ретранслятору нужны IPv4-адрес, доступный TCP-порт, а промежуточному или сторожевому ретранслятору — ещё и не менее 10 Мбит/с в каждом направлении. Каждый офшорный VPS — это виртуальная машина KVM с полным root-доступом и выделенным IPv4-адресом, а наши правила допустимого использования разрешают ретрансляторы, мосты и выходные узлы. ### Законно ли запускать ретранслятор Tor? Это зависит от страны — и вашей, и той, где находится сервер. Что касается США, то авторам [юридического FAQ EFF для операторов ретрансляторов](https://community.torproject.org/relay/community-resources/eff-tor-legal-faq/) неизвестно ни об одном случае, когда кому-либо предъявили иск, возбудили против него уголовное дело или вынесли обвинительный приговор за работу ретранслятора, и EFF считает, что ретрансляторы, включая выходные узлы, законны по праву США. Наибольшие юридические риски несут выходные узлы. ### Будут ли приходить жалобы на нарушения из-за ретранслятора Tor? Для промежуточного, сторожевого ретранслятора или моста — редко: по словам Tor Project, на сторожевые и промежуточные ретрансляторы жалоб обычно не бывает, а на мосты они маловероятны. На выходные узлы жалобы приходят, потому что конечные ресурсы видят их IP-адрес. Мы рассматриваем такие жалобы в рамках нашего порядка работы с жалобами, а не путём автоматической приостановки. ### Какая пропускная способность нужна ретранслятору Tor? [Требования Tor Project к ретрансляторам](https://community.torproject.org/relay/relays-requirements/): для промежуточного или сторожевого ретранслятора — не менее 10 Мбит/с в каждом направлении (рекомендуется 16 Мбит/с) и 100 ГБ трафика в месяц, в идеале 2 ТБ. Мосту нужно 1 Мбит/с. Трафик на наших портах 1 Гбит/с безлимитный в рамках принципа добросовестного использования. ### Можно ли разместить onion-сервис и обычный сайт на одном VPS? Да: один веб-сервер может обслуживать публичный сайт на IP-адресе сервера и onion-сайт на 127.0.0.1, если ни один из них не отвечает на имя хоста другого. Тогда заголовок Onion-Location будет направлять пользователей Tor Browser на onion-адрес. Это связывает два сайта, поэтому анонимному сервису нужен собственный сервер. **Застряли на каком-то шаге?** Клиенты с выделенными и GPU-серверами могут открыть тикет в [личном кабинете](https://offshoreserv.com/ru/account/support), указав IP-адрес сервера и то, что они уже пробовали сделать. Целевой срок первого ответа — менее 12 часов. Для всех остальных серверов используйте действия с сервером на его странице, [руководства](https://offshoreserv.com/ru/docs) и страницу [статуса сети](https://offshoreserv.com/ru/status). --- OffshoreServ — офшорный хостинг-провайдер: VPS, выделенные серверы, Windows RDP и GPU-серверы в семи юрисдикциях (Исландия, Швейцария, Молдова, Румыния, Нидерланды, Болгария и Малайзия), оплата только криптовалютой (Bitcoin, Ethereum, Monero, Tether (USDT) и Solana), без проверки личности (без KYC). Prices and plans: https://offshoreserv.com/ru/pricing · Answers: https://offshoreserv.com/ru/faq · Every page: https://offshoreserv.com/llms.txt