開啟 3 天免費試用
註冊即可免費體驗全部高級功能。
*只限新用戶；每位用戶只可獲得一次試用。
Tor obfs4 網橋架設：在 VPS 安裝、驗證及長期維護
Elena Ross
2026年10月14日· 6 分鐘讀完
Tor obfs4 網橋架設可以把一部閒置 VPS 變成不公開列出的入口，協助身處審查網絡的人接入 Tor。你需要一家容許這樣做的主機供應商、兩個可從外部連入的 TCP 端口、Tor Project 的軟件套件、一份簡短的 torrc，以及更新和停用的安排。
關鍵要點：
- 網橋只把流量送入 Tor，不會把流量發往網站。
- 先確認主機供應商條款、流量上限及會被公開的聯絡位址。
- ORPort 和 obfs4 端口都必須能從互聯網連入。
- 網橋行等同憑證，只交給你打算提供的人。
- 自動更新、流量上限及有序停用，可避免網橋變成負累。
網橋與中繼、出口節點有何分別？
網橋把描述符發布到網橋資料庫，而不是公開的目錄權威伺服器，所以它的位址不在公開的中繼清單內。［1］ 出口中繼會把 Tor 流量送往目標網站；設定 ExitRelay 0 後，任何流量都不得出口。［1］ 因此你的伺服器只會把流量交給其他 Tor 節點，絕不會直接連往用戶瀏覽的網站。營運網橋與保護你自己的流量是兩回事；要作那個決定，可先比較 Tor 與 VPN 的信任模式。
Tor Project 的指南設定的是 obfs4，一種用來偽裝連線的可插拔傳輸，目的是協助受審查的用戶連線。［2］ 如想先從用戶角度了解，可閱讀 Tor 網橋能為用戶做甚麼。
本文依據下列官方來源整理，未完成完整端到端實測。目標系統是 Debian 13（trixie）x64，該版本提供 obfs4proxy 0.0.14 套件。［3］ 是否要自行營運伺服器，可先參考自行架設服務的維護總覽。
Tor obfs4 網橋架設前要核對甚麼？
Tor Project 列出兩項必要條件：全天候連接互聯網，以及能把 TCP 端口開放到互聯網而不受 NAT 阻礙。［2］ 一部附公共 IPv4 位址的小型 VPS 通常兩項都符合。
細閱主機供應商的可接受使用政策；如當中沒有提及 Tor，就直接向客戶服務查詢。各家政策不同，有些會特別限制出口節點或 Tor 軟件。切勿向主機供應商隱瞞伺服器用途。
核對每月流量上限。AccountingMax 按結算周期限制收發位元組數，用盡額度後 Tor 會休眠至下一個周期。［1］ 另外，ContactInfo 會被存檔、公開並被搜尋器收錄，最好使用專用的電郵位址。［1］
步驟 1：準備 Debian 及自動更新
由一部全新的 Debian 13 VPS 開始，以 SSH 密鑰登入，並保留主機供應商的主控台作救援之用。按 Tor Project 中繼指南安裝自動更新：［4］
sudo apt-get install unattended-upgrades apt-listchanges
在 /etc/apt/apt.conf.d/50unattended-upgrades 中，確認來源同時包括 Debian 保安更新和 Tor Project：
Unattended-Upgrade::Origins-Pattern {
"origin=Debian,codename=${distro_codename},label=Debian-Security";
"origin=TorProject";
};
然後寫入 /etc/apt/apt.conf.d/20auto-upgrades：
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::AutocleanInterval "5";
APT::Periodic::Unattended-Upgrade "1";
APT::Periodic::Verbose "1";
自動重新啟動屬可選項目，請判斷這部伺服器是否適合在無人看管時重啟。［4］
步驟 2：從可信來源安裝 tor 及 obfs4proxy
網橋指南要求先設定 Tor Project 軟件庫，才安裝 tor。［2］ 先確認架構為 amd64 或 arm64，再匯入簽署密鑰：［5］
sudo dpkg --print-architecture
sudo apt install apt-transport-https gnupg
wget -qO- https://deb.torproject.org/torproject.org/A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89.asc | gpg --dearmor | sudo tee /usr/share/keyrings/deb.torproject.org-keyring.gpg >/dev/null
以 deb822 格式建立 /etc/apt/sources.list.d/tor.sources，發行版代號填 trixie：［5］
Types: deb deb-src
URIs: https://deb.torproject.org/torproject.org/
Suites: trixie
Components: main
Signed-By: /usr/share/keyrings/deb.torproject.org-keyring.gpg
sudo apt update
sudo apt install tor deb.torproject.org-keyring obfs4proxy
Debian 套件會把傳輸程式安裝到 /usr/bin/obfs4proxy，並由 tor 以受管理的輔助程序啟動。［3］
步驟 3：編寫 obfs4 網橋 torrc 設定
取代 /etc/tor/torrc 的全部內容。Tor Project 的範本包括一個 ORPort、一個與之不同的 obfs4 端口，以及自動分配的 Extended ORPort；避免使用一般與 Tor 聯繫在一起的 9001 端口。［2］
BridgeRelay 1
ORPort 9443
ServerTransportPlugin obfs4 exec /usr/bin/obfs4proxy
ServerTransportListenAddr obfs4 0.0.0.0:8443
ExtORPort auto
ExitRelay 0
ContactInfo bridge-admin@example.org
Nickname ExampleBridge
更改兩個端口、聯絡位址和暱稱。ExitRelay 0 把不作出口的意圖寫清楚。［1］ 443 這類低於 1024 的端口需要額外授予權能並調整 systemd，指南有說明；選用 1024 以上的端口便可免去這些步驟。［2］
以下兩行可選設定對營運者相當重要：
| 選項 | 作用 | 適用情況 |
|---|---|---|
BridgeDistribution none | BridgeDB 不會分發你的位址，預設為 any | 只供相熟的人使用的私人網橋 |
AccountingMax 500 GBytes 加 AccountingStart month 1 00:00 | 每月用盡額度後休眠 | 流量設有硬性上限的計劃 |
這兩項行為都出自 tor 手冊，額度請按你的計劃設定。［1］
步驟 4：開放兩個端口並啟動 tor
ORPort 和 obfs4 端口都必須可連入，伺服器前方的任何防火牆或 NAT 都要放行這兩個端口。［2］ 在主機供應商的雲端防火牆及主機防火牆放行這兩個端口的入站 TCP，並保留 SSH 規則。
sudo systemctl enable --now tor.service
sudo systemctl restart tor.service
sudo ss -lntp | grep -E ':(9443|8443) '
兩個端口都應顯示正在監聽。如欠缺其中一個，先檢查 torrc 有沒有打錯字，再排查防火牆。
步驟 5：查看日誌並測試連通性
sudo journalctl -e -u tor@default
運作正常的網橋會在日誌記錄身份密鑰指紋、雜湊後的身份密鑰指紋，以及已登記 obfs4 伺服器端傳輸的訊息。［2］ 日誌亦會報告 ORPort 是否可連入。obfs4 端口則使用 bridges.torproject.org/scan/ 的連通性測試。［2］
| 檢查方法 | 預期現象 | 失敗時處理 |
|---|---|---|
重啟後查看 journalctl | 出現指紋行及 obfs4 登記訊息 | 修正 torrc 語法或 obfs4proxy 路徑 |
| 日誌中的 ORPort 自我測試 | 顯示可連入 | 在雲端防火牆放行 TCP |
| 掃描 obfs4 端口 | 顯示可連入 | 放行 obfs4 端口，確認填寫 0.0.0.0 |
| 以雜湊指紋在 Relay Search 查詢 | 約三小時後出現網橋 | 稍後再查，並覆核日誌 |
新網橋約三小時後會在 Relay Search 出現，而要累積穩定的用戶，可能需要數日至數星期。［6］
步驟 6：產生 Tor 網橋行並妥善保管
在 Debian 上，tor 會把客戶端參數寫入 /var/lib/tor/pt_state/obfs4_bridgeline.txt。［6］［3］
sudo cat /var/lib/tor/pt_state/obfs4_bridgeline.txt
Tor 網橋行的格式為 Bridge obfs4 <IP ADDRESS>:<PORT> <FINGERPRINT> cert=<CERTIFICATE> iat-mode=0。填入伺服器的公共 IP、obfs4 端口而非 ORPort，以及身份密鑰指紋而非雜湊指紋。［6］
把填妥的網橋行當作密碼看待。取得它的人都能連線，想封鎖這個網橋的人也只需要這一行。設定 BridgeDistribution none 時，請私下傳送，並只交給你打算提供的人。
步驟 7：維護、遷移或停用網橋
每月檢查一次更新機制，這個指令不會改動系統：［4］
sudo unattended-upgrade --debug --dry-run
pt_state 內的狀態檔 obfs4_state.json 保存已產生的參數，所以保留 /var/lib/tor 便能沿用同一張證書。［3］ 若遷移到新的 IP 位址，要重新產生並再次分發網橋行。把原有的公開中繼轉為網橋時，Tor Project 建議更換其 IP 位址、名稱和指紋。［7］
停用前，先通知所有取得網橋行的人，再停止服務並關閉兩個端口：
sudo systemctl disable --now tor.service
只有確定日後不再沿用這個身份時，才刪除 /var/lib/tor；如軟件庫檔案不再需要，亦一併移除。
總結
- 確認主機供應商容許運行 Tor 網橋，並預算好流量上限。
- 從 Tor Project 軟件庫安裝 tor，從 Debian 安裝 obfs4proxy。
- 使用簡短的 torrc，設定兩個不同且可連入的端口，不作出口。
- 分享任何資料前，先核對日誌、掃描結果及 Relay Search。
- 保持自動更新，並有計劃地停用網橋。
常見問題
營運網橋會令我自己上網變得匿名嗎？
不會。網橋是協助其他人接入 Tor 的，你自己的流量需要另外的工具，疊加多種工具亦會改變你信任的對象，可參閱 Tor over VPN 如何安排連線次序。
網橋和出口中繼是同一回事嗎？
不是。網橋只把流量送入 Tor 網絡，在沒有設定出口的情況下，不會有任何流量從你的伺服器直接發往網站。
一定要開放兩個端口嗎？
是的。官方指南要求 ORPort 和 obfs4 端口都能從互聯網連入，欠缺任何一個，網橋都無法正常提供服務。
為何我的網橋仍然沒有人使用？
新網橋約三小時後才會在 Relay Search 出現，而穩定的使用量往往要數日甚至數星期才會出現。
可以把網橋設為私人嗎？
可以。設定 BridgeDistribution none 後，BridgeDB 不會分發你的位址，之後只把網橋行私下交給信任的人便可。
流量用盡會怎樣？
設定了 AccountingMax 後，額度接近用盡時 tor 會停止接受新連線，用盡後進入休眠，直至下一個結算周期開始。
可以在家中而不是 VPS 運行網橋嗎？
只有能全天候在線，而且 TCP 端口能對外開放又不受 NAT 影響時才可行，不少家居寬頻至少不符合其中一項。
免責聲明：運行 Tor 基建的規則因主機供應商和司法管轄區而異。本文只提供一般技術資訊，不構成法律意見，請核對主機供應商條款及適用於你的法律。
來源:
- tor(1) manual, Debian trixie — https://manpages.debian.org/trixie/tor/tor.1.en.html
- Tor Project: Bridge on Debian/Ubuntu — https://community.torproject.org/relay/setup/bridge/debian-ubuntu/
- obfs4proxy(1) manual, Debian trixie — https://manpages.debian.org/trixie/obfs4proxy/obfs4proxy.1.en.html
- Tor Project: Relay Automatic Updates — https://community.torproject.org/relay/setup/guard/debian-ubuntu/updates/
- Tor Project: Debian Repository — https://support.torproject.org/apt/tor-deb-repo/
- Tor Project: Bridge Post-install — https://community.torproject.org/relay/setup/bridge/post-install/
- Tor Project: Bridge Setup Overview — https://community.torproject.org/relay/setup/bridge/
Sources checked 2026 年 10 月 14 日。
延伸閱讀：
