Начните бесплатный 3-дневный пробный период
Зарегистрируйтесь и попробуйте все премиум-функции бесплатно.
*Только для новых пользователей. Один пробный период на пользователя.
Настройка моста Tor obfs4 на VPS: установка и проверка
Elena Ross
14 октября 2026 г.· 9 мин чтения
Настройка моста Tor obfs4 превращает свободный VPS в неопубликованную точку входа в сеть Tor для людей в сетях с цензурой. Понадобятся хостинг, который это разрешает, два доступных TCP-порта, пакеты Tor Project, короткий torrc и план обновлений и вывода моста из работы.
Ключевые выводы:
- Мост передает трафик внутрь Tor и никогда не отправляет его на сайты.
- Сначала проверьте условия провайдера, лимит трафика и публичный контактный адрес.
- ORPort и порт obfs4 должны быть доступны из интернета.
- Строка моста — это учетные данные: передавайте ее только тем, кому собирались.
- Обновления, лимиты трафика и аккуратное отключение не дают мосту стать проблемой.
Чем мост отличается от ретранслятора и выходного узла?
Мост публикует свой дескриптор в базе мостов, а не у публичных директорий, поэтому его адреса нет в общем списке ретрансляторов.［1］ Выходной узел отправляет трафик Tor на сайты назначения; при ExitRelay 0 выход трафика запрещен.［1］ Поэтому трафик вашего сервера доходит только до других узлов Tor и никогда до сайтов, которые открывают пользователи. Работа моста — отдельный вопрос от защиты собственного трафика; для такого решения сравните модели доверия Tor и VPN.
Руководство Tor Project настраивает obfs4 — подключаемый транспорт, маскирующий соединение, — чтобы пользователи под цензурой могли подключиться.［2］ Если сначала нужен взгляд со стороны пользователя, прочитайте, что мосты Tor дают пользователям.
Инструкция основана на перечисленных ниже официальных источниках; полный сквозной тест не выполнялся. Она рассчитана на Debian 13 (trixie) x64, где есть пакет obfs4proxy 0.0.14.［3］ Общее решение о собственных серверах поможет принять обзор обслуживания самостоятельного хостинга.
Что проверить до того, как начнется настройка моста Tor obfs4?
Tor Project называет два обязательных условия: подключение к интернету 24/7 и возможность открыть TCP-порты в интернет так, чтобы не мешал NAT.［2］ Небольшой VPS с публичным IPv4-адресом обычно подходит под оба.
Прочитайте правила допустимого использования провайдера и спросите поддержку, если Tor там не упомянут. Правила различаются, и некоторые ограничивают именно выходные узлы или программы Tor. Не скрывайте назначение сервера от хостинга.
Проверьте месячный лимит трафика. AccountingMax ограничивает объем данных за учетный период, а после исчерпания квоты Tor переходит в спящий режим до следующего периода.［1］ Учтите и то, что ContactInfo архивируется, публикуется и индексируется поисковиками, поэтому заведите отдельный адрес.［1］
Шаг 1: Подготовьте Debian и автоматические обновления
Начните с чистого VPS на Debian 13 со входом по SSH-ключу и консолью провайдера для восстановления. Установите автоматические обновления, как описано в руководстве Tor Project для ретрансляторов:［4］
sudo apt-get install unattended-upgrades apt-listchanges
В /etc/apt/apt.conf.d/50unattended-upgrades убедитесь, что источники включают и обновления безопасности Debian, и Tor Project:
Unattended-Upgrade::Origins-Pattern {
"origin=Debian,codename=${distro_codename},label=Debian-Security";
"origin=TorProject";
};
Затем запишите /etc/apt/apt.conf.d/20auto-upgrades:
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::AutocleanInterval "5";
APT::Periodic::Unattended-Upgrade "1";
APT::Periodic::Verbose "1";
Автоматическая перезагрузка необязательна; решите, подходят ли этому серверу перезапуски без присмотра.［4］
Шаг 2: Установите tor и obfs4proxy из надежных источников
Руководство по мостам требует подключить репозиторий Tor Project до установки tor.［2］ Убедитесь, что архитектура — amd64 или arm64, затем добавьте ключ подписи:［5］
sudo dpkg --print-architecture
sudo apt install apt-transport-https gnupg
wget -qO- https://deb.torproject.org/torproject.org/A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89.asc | gpg --dearmor | sudo tee /usr/share/keyrings/deb.torproject.org-keyring.gpg >/dev/null
Создайте /etc/apt/sources.list.d/tor.sources в формате deb822, указав дистрибутив trixie:［5］
Types: deb deb-src
URIs: https://deb.torproject.org/torproject.org/
Suites: trixie
Components: main
Signed-By: /usr/share/keyrings/deb.torproject.org-keyring.gpg
sudo apt update
sudo apt install tor deb.torproject.org-keyring obfs4proxy
Пакет Debian устанавливает транспорт в /usr/bin/obfs4proxy, и tor запускает его как управляемый вспомогательный процесс.［3］
Шаг 3: Составьте torrc для моста obfs4
Замените содержимое /etc/tor/torrc. Шаблон Tor Project задает ORPort, отличающийся от него порт obfs4 и автоматический Extended ORPort; избегайте порта 9001, который обычно связывают с Tor.［2］
BridgeRelay 1
ORPort 9443
ServerTransportPlugin obfs4 exec /usr/bin/obfs4proxy
ServerTransportListenAddr obfs4 0.0.0.0:8443
ExtORPort auto
ExitRelay 0
ContactInfo bridge-admin@example.org
Nickname ExampleBridge
Измените оба порта, контактный адрес и псевдоним. ExitRelay 0 явно фиксирует отказ от выхода.［1］ Порты ниже 1024, например 443, требуют дополнительной capability и изменения systemd, описанных в руководстве; порты выше 1024 этого не требуют.［2］
Две необязательные строки важны для операторов:
| Параметр | Действие | Когда использовать |
|---|---|---|
BridgeDistribution none | BridgeDB не раздает ваш адрес; по умолчанию any | Частный мост для знакомых людей |
AccountingMax 500 GBytes плюс AccountingStart month 1 00:00 | Спящий режим после квоты каждый месяц | Тарифы с жестким лимитом трафика |
Оба поведения описаны в руководстве tor; подберите квоту под свой тариф.［1］
Шаг 4: Откройте оба порта и запустите tor
ORPort и порт obfs4 должны быть доступны, и оба нужно открыть в любом межсетевом экране или NAT перед сервером.［2］ Разрешите входящий TCP на эти два порта в облачном межсетевом экране провайдера и в межсетевом экране узла, сохранив правило SSH.
sudo systemctl enable --now tor.service
sudo systemctl restart tor.service
sudo ss -lntp | grep -E ':(9443|8443) '
На обоих портах должны быть слушатели. Если одного нет, сначала проверьте torrc на опечатки и только потом межсетевой экран.
Шаг 5: Прочитайте журнал и проверьте доступность
sudo journalctl -e -u tor@default
Исправный мост записывает в журнал отпечаток ключа идентичности, хешированный отпечаток и строку о регистрации серверного транспорта obfs4.［2］ Журнал также сообщает, доступен ли ORPort. Для порта obfs4 используйте проверку доступности на bridges.torproject.org/scan/.［2］
| Способ проверки | Ожидаемый результат | Если не получилось |
|---|---|---|
journalctl после перезапуска | Строки отпечатков и регистрация obfs4 | Исправьте синтаксис torrc или путь к obfs4proxy |
| Самопроверка ORPort в журнале | Порт доступен | Откройте TCP в облачном межсетевом экране |
| Проверка порта obfs4 | Порт доступен | Откройте порт obfs4; проверьте 0.0.0.0 |
| Relay Search по хешированному отпечатку | Мост появляется примерно через три часа | Подождите и снова проверьте журнал |
Relay Search показывает новый мост примерно через три часа, а устойчивое число пользователей может появиться через несколько дней или недель.［6］
Шаг 6: Соберите строку моста Tor и защитите ее
В Debian tor записывает параметры для клиентов в /var/lib/tor/pt_state/obfs4_bridgeline.txt.［6］［3］
sudo cat /var/lib/tor/pt_state/obfs4_bridgeline.txt
Строка моста Tor имеет вид Bridge obfs4 <IP ADDRESS>:<PORT> <FINGERPRINT> cert=<CERTIFICATE> iat-mode=0. Подставьте публичный IP сервера, порт obfs4, а не ORPort, и отпечаток ключа идентичности, а не хешированный.［6］
Относитесь к готовой строке как к паролю. Подключиться может любой, у кого она есть, и тому, кто хочет заблокировать мост, тоже достаточно этой строки. При BridgeDistribution none передавайте ее лично и только тем, кому собирались.
Шаг 7: Обслуживайте, переносите или выводите мост из работы
Раз в месяц проверяйте механизм обновлений, ничего не меняя:［4］
sudo unattended-upgrade --debug --dry-run
Файл состояния obfs4_state.json в pt_state хранит сгенерированные параметры, поэтому при сохранении /var/lib/tor сохраняется и сертификат.［3］ При переезде на новый IP-адрес заново соберите и разошлите строку моста. Если бывший публичный ретранслятор превращается в мост, Tor Project советует сменить его IP-адрес, имя и отпечаток.［7］
Чтобы вывести мост из работы, предупредите всех, кому передавали строку, затем остановите службу и закройте оба порта:
sudo systemctl disable --now tor.service
Удаляйте /var/lib/tor, только если больше никогда не будете использовать эту идентичность, и уберите файл репозитория, если он больше ни для чего не нужен.
Итоги
- Убедитесь, что хостинг разрешает мосты Tor, и рассчитайте лимит трафика.
- Ставьте tor из репозитория Tor Project, а obfs4proxy — из Debian.
- Используйте короткий torrc с двумя разными доступными портами и без выхода.
- Проверьте журнал, сканирование и Relay Search, прежде чем чем-либо делиться.
- Держите обновления включенными и выводите мост из работы осознанно.
Часто задаваемые вопросы (FAQ)
Сделает ли мост анонимным мой собственный просмотр сайтов?
Нет. Мост помогает другим людям войти в Tor. Вашему трафику нужен собственный инструмент, а сочетание инструментов меняет, кому вы доверяете; см. как Tor поверх VPN выстраивает узлы.
Мост — это то же самое, что выходной узел?
Нет. Мост только передает трафик внутрь сети Tor; без настроенного выхода с вашего сервера к сайтам ничего не уходит.
Нужно ли открывать два порта?
Да. Руководство требует, чтобы и ORPort, и порт obfs4 были доступны из интернета, иначе мост не будет работать нормально.
Почему моим мостом пока никто не пользуется?
Relay Search показывает новые мосты примерно через три часа, а стабильное использование может появиться через несколько дней или недель.
Можно ли сделать мост частным?
Да. Задайте BridgeDistribution none, чтобы BridgeDB не раздавал адрес, и передавайте строку моста только доверенным людям.
Что произойдет при исчерпании лимита трафика?
Если задан AccountingMax, tor перестает принимать новые соединения при подходе к квоте и засыпает до следующего учетного периода.
Можно ли запустить мост дома, а не на VPS?
Только при работе 24/7 и открытых TCP-портах без проблем с NAT; многие домашние подключения не выполняют одно из этих условий.
Отказ от ответственности: Правила работы инфраструктуры Tor зависят от хостинга и юрисдикции. Это руководство содержит общую техническую информацию, а не юридическую консультацию; сверяйтесь с условиями провайдера и применимым к вам законодательством.
Источники:
- tor(1) manual, Debian trixie — https://manpages.debian.org/trixie/tor/tor.1.en.html
- Tor Project: Bridge on Debian/Ubuntu — https://community.torproject.org/relay/setup/bridge/debian-ubuntu/
- obfs4proxy(1) manual, Debian trixie — https://manpages.debian.org/trixie/obfs4proxy/obfs4proxy.1.en.html
- Tor Project: Relay Automatic Updates — https://community.torproject.org/relay/setup/guard/debian-ubuntu/updates/
- Tor Project: Debian Repository — https://support.torproject.org/apt/tor-deb-repo/
- Tor Project: Bridge Post-install — https://community.torproject.org/relay/setup/bridge/post-install/
- Tor Project: Bridge Setup Overview — https://community.torproject.org/relay/setup/bridge/
Sources checked 14 октября 2026 г.
Рекомендуемые статьи:
