Cómo configurar un nodo de salida Tor correctamente

Qué hace un nodo de salida de Tor y qué implica serlo

Un nodo de salida de Tor es el último repetidor en un circuito: es la máquina que abre la conexión hacia el destino, por lo que el destino registra la dirección de su servidor y nunca la del usuario. Todas las demás decisiones en esta guía se derivan de ese hecho. La dirección se trata como el origen de todo lo que pasa a través de ella, por lo que debe ser una dirección que no realice ninguna otra función, en un proveedor que haya aceptado cursar este tráfico.

Ejecutar un nodo de salida es lo opuesto a ocultarse. El repetidor aparece en un directorio público que cualquiera puede descargar. Su dirección de contacto figura en ese directorio bajo ContactInfo, su nombre de DNS inverso (sistema de nombres de dominio) anuncia qué es el equipo, el puerto 80 sirve una página que indica lo mismo y usted responde a los correos de abuso personalmente, bajo su propio nombre. Nadie en este sistema es más identificable que un operador de un nodo de salida. Ese es el trabajo y esa es la razón por la que el sistema funciona.

Nosotros operamos estos nodos. SSD Nodes gestiona repetidores de salida en varios países como contribución a la libertad de expresión. Alquilamos esas máquinas a proveedores que han aceptado deliberadamente cursar tráfico de salida, y nosotros no somos el proveedor de dichas máquinas. Esto es intencionado, y la siguiente sección explica por qué.

Dónde debe estar un nodo de salida y dónde no

Un nodo de salida no debe estar en un VPS (servidor privado virtual) de propósito general, y eso incluye los nuestros. Una red de propósito general aloja sitios web, correo, copias de seguridad y paneles de control para miles de clientes sin relación entre sí en direcciones IP vecinas. El tráfico de salida provoca que una de esas direcciones aparezca en informes de escaneo y listas negras de spam, y los efectos recaen sobre los vecinos. Los proveedores que alojan nodos de salida correctamente se han preparado para ello: disponen de un espacio de direcciones reservado para este fin y un departamento de abusos que ya conoce qué es Tor.

Por tanto, un proveedor que escribe esta guía le recomienda comprar la máquina en otro lugar. Esa es la parte útil. Sabemos lo que el tráfico de salida le hace a una dirección porque pagamos a otros para que transporten el nuestro, y les pagamos porque gestionarlo correctamente es un negocio distinto al de vender servidores de propósito general.

El Tor Project dice lo mismo en términos más directos. Su página de tipos de repetidores establece que los repetidores de salida "tienen la mayor exposición legal y responsabilidad de todos los repetidores" y que "no debería ejecutar un repetidor de salida de Tor desde su casa". Un VPS de propósito general que aloja sus propios proyectos está más cerca de casa de lo que parece. Es una máquina que le importa, en una dirección que desea mantener limpia.

Si tiene un VPS común y quiere ayudar a la red esta semana, ejecute un repetidor que no sea de salida o un puente en él. No es un premio de consolación. Es una tarea distinta con un perfil de riesgo diferente, y la red necesita ambos. Un repetidor que no es de salida nunca abre una conexión hacia un destino, por lo que casi no genera quejas, y la guía de Tor solicita al menos 2 MByte/s (megabytes por segundo) en cada dirección para que valga la pena incluirlo en el listado. Un puente es un punto de entrada no listado para usuarios en redes censuradas. Requiere conectividad 24/7 y un puerto TCP (protocolo de control de transmisión) abierto, lo que lo convierte en la función de mayor valor que puede realizar un equipo pequeño. Ambos tienen cabida en el hardware que ya posee. Un nodo de salida, no.

¿Cómo encontrar un proveedor que permita nodos de salida?

Pregunte antes de contratar, por escrito, y conserve la respuesta. Las directrices para nodos de salida de Tor sugieren preguntar en dos pasos: primero si el proveedor permite un nodo de salida de Tor y, después, si asignarán una dirección o rango dedicado para ello. Preguntar ambas cosas a la vez suele generar una negativa automática.

Cuatro preguntas le indicarán si un proveedor está realmente preparado para esto.

• ¿Asignarán una dirección IP dedicada que no aloje nada más y configurarán el registro DNS inverso que solicite?
• ¿Quién recibe los correos de abuso y me los reenviarán sin editar, manteniendo intacta la dirección del remitente para que pueda responderle directamente?
• ¿Qué sucede ante la primera queja: me la reenvían o aplican un null-route a la dirección primero y preguntan después?
• ¿Cuántos nodos de salida hay ya en esta red? Las directrices de Tor son claras al respecto: "no ayuda si agrupamos demasiados nodos de salida en un mismo ISP colaborador".

Esa última pregunta es más importante de lo que parece. Parte del valor de un nodo de salida proviene de su ubicación en la red. Otro nodo en una red que ya alberga cincuenta aporta menos que la misma máquina en un lugar nuevo. Relay Search muestra qué redes ya alojan nodos de salida, por lo que puede verificarlo antes de comprometerse.

Obtenga las respuestas antes de pagar y adquiera la máquina en una cuenta independiente en lugar de añadirla a la cuenta que contiene sus otros servidores. Qué tan seguro es el alojamiento VPS depende principalmente de qué coloca junto a qué, y este es el ejemplo más claro de esa regla.

Una dirección, una función

La dirección de salida no debe alojar nada más. Ni sitios web, ni correo, ni VPN, ni paneles de monitorización, ni servidores de salto SSH (secure shell) personales. La dirección terminará en listas de bloqueo y cualquier otro servicio alojado allí comenzará a fallar de formas difíciles de depurar. Una dirección de propósito único también permite que su respuesta ante quejas sea breve: esta dirección es un repetidor de salida, no es nada más.

Antes de instalar tor, realice las tareas habituales. Configure SSH solo con claves y deshabilite el acceso por contraseña, además de un firewall que solo permita los puertos que va a publicar. Asegurar SSH en un VPS cubre la primera parte y conceptos básicos del firewall ufw cubre la segunda. Un nodo de salida publica exactamente dos puertos al mundo: el ORPort que transporta el tráfico de Tor y el puerto 80 para la página de aviso de salida. Todo lo demás debe permanecer cerrado.

Active las actualizaciones automáticas (unattended upgrades), ya que un nodo de salida que ejecute una versión antigua de tor es un problema para cada usuario que se enrute a través de él.

sudo apt update && sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

No añada registros (logging). Capturar el texto plano que sale de un nodo de salida es técnicamente sencillo y es lo único que un operador nunca debe hacer. El FAQ legal de Tor de la EFF indica a los operadores que no lo hagan, ya que las leyes de interceptación de comunicaciones en Estados Unidos y leyes comparables en otros lugares pueden generar responsabilidad legal por examinar dicho tráfico. Mantenga el nivel de registro predeterminado de tor (notice) y nada más.

Instalar Tor desde el repositorio del Tor Project

Los paquetes de las distribuciones suelen estar desactualizados. Utilice el repositorio oficial del Tor Project para recibir las correcciones de seguridad el mismo día que se publican. A fecha de agosto de 2026, la serie estable actual es la 0.4.9.

sudo apt update
sudo apt install -y apt-transport-https gnupg wget
lsb_release -cs

Escriba /etc/apt/sources.list.d/tor.sources, reemplazando noble con el nombre en clave que lsb_release -cs mostró en pantalla:

Types: deb deb-src
URIs: https://deb.torproject.org/torproject.org/
Suites: noble
Components: main
Signed-By: /usr/share/keyrings/deb.torproject.org-keyring.gpg

Añada la clave de firma y, a continuación, instale:

wget -qO- https://deb.torproject.org/torproject.org/A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89.asc | gpg --dearmor | sudo tee /usr/share/keyrings/deb.torproject.org-keyring.gpg >/dev/null
sudo apt update
sudo apt install -y tor deb.torproject.org-keyring
tor --version

El paquete deb.torproject.org-keyring mantiene esa clave actualizada automáticamente, de modo que el repositorio no deje de funcionar cuando la clave cambie. Si apt update informa de que el mismo repositorio está configurado dos veces, significa que tiene tanto un archivo .list como un archivo .sources que lo definen, y el error de duplicado de fuente deb822 explica cómo solucionar este problema.

DNS: su nodo de salida resuelve nombres para todos los que lo utilizan

Un nodo de salida realiza las búsquedas de nombres para cada circuito que sale a través de él, por lo que su resolución ve un flujo de nombres que pertenecen a otras personas. Si apunta esto a un resolvedor público grande, entrega todo el flujo a una sola empresa, lo cual es la centralización que Tor pide a los operadores de salida que eviten. Ejecute en su lugar un resolvedor con validación y caché en el propio servidor.

sudo apt install -y unbound bind9-dnsutils
sudo cp /etc/resolv.conf /etc/resolv.conf.backup
echo "nameserver 127.0.0.1" | sudo tee /etc/resolv.conf
sudo chattr +i /etc/resolv.conf
sudo systemctl enable --now unbound

chattr +i marca el archivo como inmutable, ya que los clientes DHCP (dynamic host configuration protocol) y resolvconf sobrescriben /etc/resolv.conf según su propia programación. Sin esto, un reinicio puede devolver sus búsquedas al resolvedor del proveedor, y nada le avisará cuando esto ocurra. Las instrucciones de Tor para Debian y Ubuntu también habilitan la minimización de nombres de consulta, la cual envía a cada servidor de nombres solo la parte del nombre que realmente necesita:

server:
    qname-minimisation: yes

Coloque esto en un archivo bajo /etc/unbound/unbound.conf.d/ y luego confirme que el resolvedor responde:

sudo systemctl restart unbound
dig +short example.com @127.0.0.1

Una dirección en la respuesta significa que unbound está funcionando. Si unbound no arranca con address already in use, otro proceso está ocupando el puerto 53: ejecute sudo ss -lntup | grep :53 y observe qué proceso lo posee. En Ubuntu, systemd-resolved escucha en 127.0.0.53, por lo que no entra en conflicto con unbound en 127.0.0.1.

El archivo torrc para un relay de salida

El paquete de Debian lee /etc/tor/torrc. Esta es la configuración completa relevante para la salida.

Nickname     exampleExit01
ORPort       443
ExitRelay    1
SocksPort    0
ContactInfo  email:tor[]example.org abuse:abuse[]example.org url:https://example.org ciissversion:3
ReducedExitPolicy 1
Log          notice syslog

Cada línea es fundamental, así que analícelas una por una.

ORPort 443 es donde otros relays se conectan con usted. El puerto 443 atraviesa redes restrictivas que bloquean puertos inusuales, por lo que su relay es accesible para más personas de lo que sería en el tradicional 9001. Solo puede reclamar el 443 porque ningún otro proceso en esta máquina lo requiere, lo cual es un argumento adicional a favor de una dirección dedicada.

SocksPort 0 desactiva el proxy SOCKS local. Un relay nunca lo necesita, y un puerto SOCKS escuchando en una dirección pública es un proxy abierto que será detectado y utilizado de forma abusiva en cuestión de horas.

ExitRelay 1 es el interruptor que convierte a este nodo en un relay de salida. Defínalo explícitamente en lugar de depender de un valor predeterminado, para que el archivo de configuración indique claramente qué hace la máquina.

ContactInfo se publica en el directorio público para que cualquiera pueda leerlo. Escríbalo en el formato de la Especificación de intercambio de información de contacto, que es lo que analizan las herramientas de la red, y mantenga ciissversion:3 en él. El uso de [] en lugar de @ es la convención que utiliza dicha especificación para ralentizar a los recolectores de direcciones. Utilice un buzón que revise a diario, ya que ahí es donde llegarán los correos sobre abusos.

Si la máquina tiene IPv6 funcional, añada un ORPort IPv6 y habilite la salida IPv6. Omita ambos si no es el caso, ya que un relay que anuncia una dirección que no puede utilizar realmente fallará su propia prueba de accesibilidad.

ORPort   [2001:db8::1]:443
IPv6Exit 1

Política de salida: qué puertos admite

La política de salida es la lista de destinos a los que su repetidor está dispuesto a conectarse. Tor la lee de arriba a abajo y la primera regla que coincide es la que se aplica. ReducedExitPolicy 1 selecciona una lista curada de aproximadamente setenta puertos que cubren web, envío de correo, chat y git, y excluye los puertos que generan la mayor cantidad de quejas. Es el punto de partida adecuado para una primera salida.

Vale la pena conocer dos reglas por su nombre. ExitPolicyRejectPrivate está activada por defecto e impide que la salida se conecte a rangos de direcciones privadas y a las propias direcciones del repetidor, lo cual evita que su salida sea dirigida hacia la red interna de su proveedor. El puerto 25 (SMTP, simple mail transfer protocol) está rechazado y debería permanecer así, ya que permitirlo convierte al repetidor en una fuente de spam y la dirección es incluida en listas negras en cuestión de días.

Un repetidor de salida debe permitir los puertos 80 y 443 para ser útil. La documentación de repetidores de salida de Tor establece ese mínimo directamente. Si su proveedor requiere algo más restrictivo que la política reducida, una salida solo para web sigue siendo una contribución real:

ExitPolicy accept *:80
ExitPolicy accept *:443
ExitPolicy reject *:*

Finalice la lista con reject *:* para que su política sea completa por sí misma y no se herede nada más. La política reducida permite el puerto 22 (SSH), que es la fuente habitual de informes de ataques de fuerza bruta, por lo que puede añadir ExitPolicy reject *:22 por encima del resto si prefiere no gestionar ese tipo de notificaciones. Los puertos de intercambio de archivos en el rango 6881-6999 son la fuente habitual de avisos de derechos de autor, y la política reducida ya los excluye.

Un cambio de política solo llega a los clientes después de que su repetidor publica un nuevo descriptor y el directorio lo propaga, así que espere unas horas antes de evaluar el efecto.

Información de contacto, claves de familia y registro del repetidor

Registrar un nodo de salida significa vincularlo a un nombre que un extraño pueda verificar. Dos mecanismos realizan esta tarea y funcionan de forma conjunta.

El primero es un archivo bien conocido. Publique su identidad de familia en un dominio que usted controle y, a continuación, nombre esa prueba en ContactInfo:

ContactInfo email:tor[]example.org url:https://example.org proof:uri-familyid-ed25519 ciissversion:3

El archivo reside en https://example.org/.well-known/tor-relay/ed25519-family-id.txt y contiene su ID de familia. Cualquier persona puede confirmar ahora que quien reclama estos repetidores también controla ese dominio. Esa es la diferencia entre una dirección de contacto y una verificada.

El segundo es la familia en sí misma. Si usted opera más de un repetidor, la red necesita saber que comparten operador para que un cliente nunca construya un circuito a través de dos de sus máquinas. El tor actual hace esto con una clave de familia, denominada Happy Families, en repetidores que ejecutan la versión 0.4.9.2-alpha o posterior:

tor --keygen-family exampleFamily

Esto escribe exampleFamily.secret_family_key e imprime una línea FamilyId. Copie el archivo de clave secreta en el directorio de claves de cada repetidor (/var/lib/tor/keys en Debian y Ubuntu), mantenga la extensión .secret_family_key en el nombre del archivo, añada la línea FamilyId impresa a cada torrc y recargue tor. La documentación de Tor es explícita al indicar que todavía debe configurar la opción heredada MyFamily listando la huella digital de cada repetidor hasta que el proyecto anuncie que ya no es necesaria, por lo que debe configurar ambas. La huella digital de cada repetidor se encuentra en /var/lib/tor/fingerprint.

La segunda y tercera máquina es donde las operaciones empiezan a importar, y gestionar varios servidores Linux a la vez es el mismo problema aquí que en cualquier otro lugar. Realice una copia de seguridad de /var/lib/tor/keys fuera del servidor. Si la pierde, el repetidor volverá como un extraño y tendrá que ganar cada distintivo y toda su reputación de nuevo desde cero.

Suscríbase también a la lista de correo tor-relays. Los cambios que afectan a los operadores se anuncian allí primero.

DNS inverso y el aviso de salida en el puerto 80

Configure el registro DNS inverso antes de que el repetidor gestione tráfico. Las directrices de salida de Tor indican que se debe señalar qué es el equipo, siguiendo el formato tor-exit-01.example.org. La razón es práctica. Cuando aparece una dirección desconocida en los registros de alguien, lo primero que hace su administrador es una búsqueda inversa. Un nombre que contenga "tor-exit" responde a la pregunta antes de que nadie le escriba, lo que convierte una parte de las posibles quejas en ninguna queja en absoluto. Solicite al proveedor que configure el registro PTR (puntero) y añada un registro directo coincidente por su parte.

A continuación, sirva una página de aviso en el puerto 80 que diga lo mismo con palabras. Las guías antiguas hacen esto con el ajuste DirPortFrontPage de tor, que depende de un DirPort. DirPort ha quedado obsoleto para repetidores desde tor 0.4.6.5, así que utilice un servidor web pequeño en su lugar.

sudo apt install -y nginx
sudo install -d -m 755 /srv/tor-exit-notice

Escriba /srv/tor-exit-notice/index.html:

<!DOCTYPE html>
<html>
<head><title>This is a Tor exit relay</title></head>
<body>
<h1>This is a Tor exit relay</h1>
<p>Traffic from this address was sent by a user of the Tor network. It did not
come from the operator of this machine, and this machine keeps no record of
who sent it.</p>
<p>Operator: Example Org. Abuse reports: abuse@example.org. Every report gets a
reply from a person.</p>
<p>To check whether this address was a Tor exit at a given date and time:
https://metrics.torproject.org/exonerator.html</p>
</body>
</html>

Escriba este bloque de servidor en /etc/nginx/sites-available/tor-exit-notice:

server {
    listen 80 default_server;
    listen [::]:80 default_server;
    server_name _;
    root /srv/tor-exit-notice;
    index index.html;
    access_log off;
}

Habilítelo, elimine el sitio predeterminado de nginx y compruebe el resultado:

sudo ln -sf /etc/nginx/sites-available/tor-exit-notice /etc/nginx/sites-enabled/tor-exit-notice
sudo rm -f /etc/nginx/sites-enabled/default
sudo nginx -t && sudo systemctl reload nginx
curl -s http://127.0.0.1/ | head -n 5

nginx -t informando de syntax is ok y test is successful significa que el archivo se analiza correctamente. El comando curl debería imprimir las primeras líneas de su aviso. Si imprime la página de bienvenida de nginx, el sitio predeterminado sigue habilitado y su bloque no se está utilizando.

Inícielo y lea lo que indica el registro

sudo systemctl restart tor@default
sudo journalctl -u tor@default -n 50 --no-pager

En pocos minutos, el registro debería mostrar la línea que indica que otros repetidores pueden alcanzarle:

Self-testing indicates your ORPort is reachable from the outside. Excellent.

Si esa línea no aparece, el ORPort no es accesible. Confirme que tor está escuchando con sudo ss -lntp | grep 443 y, a continuación, pruebe el puerto desde otra máquina con nc -vz your.address.here 443. Un firewall frente al VPS, ya sea el suyo o uno en el panel de control del proveedor, es la causa habitual.

Compruebe que el servicio se reinicia tras un reinicio del sistema con systemctl is-enabled tor, lo cual debería imprimir enabled.

El repetidor aparece en Relay Search unas tres horas después de iniciarse, bajo el apodo que haya elegido. El tráfico aumenta a lo largo de varios días, ya que la medición de ancho de banda de la red debe observar su repetidor antes de que los clientes le asignen una carga significativa. Es normal que un nuevo nodo de salida apenas registre tráfico el primer día.

El manual de respuesta ante abusos y el aspecto de los correos

Redacte el manual de respuesta antes de recibir la primera queja, ya que la primera suele llegar durante la primera semana. La mayor parte de estos correos se generan de forma automática. Según las directrices de salida de Tor, los informes automatizados representan aproximadamente el 80% del total, y una respuesta estándar resuelve la mayoría de los casos restantes.

Esto es lo que llega realmente: un informe de escaneo o de fuerza bruta generado por el sistema de detección de intrusos de alguien, que cita su dirección y una marca de tiempo. Un aviso de derechos de autor, si su política permite puertos de intercambio de archivos. Una queja por spam en foros o comentarios enviada por el propietario de un sitio. Ocasionalmente, una solicitud de conservación de datos o una citación judicial por parte de las fuerzas del orden, lo cual constituye una categoría distinta y el momento en el que debe hablar con un abogado en lugar de recurrir a una plantilla.

La respuesta es breve y casi siempre la misma:

Hello,

Thank you for the report. The address 203.0.113.10 is a Tor exit relay,
operated by <your name> at <your organisation>. The connection you saw was
made by a user of the Tor network. It did not originate on this machine.

This relay keeps no record of which user made which connection, so I cannot
identify the sender and there are no logs for me to hand over.

You can confirm that this address was a Tor exit at the date and time in
question here: https://metrics.torproject.org/exonerator.html

If you would prefer to stop Tor traffic reaching your service, the current
list of exit addresses is published here:
https://check.torproject.org/torbulkexitlist

I read this mailbox personally and will answer any follow-up.

<your name>

Cuatro hábitos hacen que esto funcione. Responda en el plazo de un día laborable, desde la dirección indicada en ContactInfo, y firme con su propio nombre. Nunca ofrezca identificar a un usuario, porque no puede hacerlo, y un operador que sugiera lo contrario tendrá que romper esa promesa más adelante. Mantenga todas las respuestas en una misma carpeta, de modo que un segundo correo sobre el mismo incidente reciba la misma respuesta. Si el proveedor reenvía una queja con una advertencia de suspensión adjunta, responda primero al proveedor y después al denunciante.

Dos enlaces soportan la mayor parte del peso en esas respuestas. ExoneraTor responde a la pregunta que realmente tiene un investigador: ¿era esta dirección un nodo de salida de Tor en ese momento? La lista masiva de nodos de salida es una lista simple de las direcciones de salida actuales, una por línea, para cualquiera que haya decidido bloquear Tor y prefiera hacerlo con precisión en lugar de adivinar.

Ancho de banda, costes y el segundo repetidor

Los nodos de salida mueven tráfico real. Decida el límite mensual antes de contratar el servicio y pregunte cómo factura el proveedor una vez superada la cuota, ya que lo que realmente cuesta un VPS depende principalmente del límite de transferencia y no del precio de lista. Tor puede aplicar sus límites de esta forma:

AccountingMax 4 TBytes
AccountingStart month 1 00:00
RelayBandwidthRate 20 MBytes
RelayBandwidthBurst 25 MBytes

AccountingMax hace que Tor entre en hibernación una vez que ha movido ese volumen durante el periodo de contabilidad, para luego reactivarse al inicio del siguiente. Compare el primer mes con el contador propio del proveedor antes de confiar en la cifra, ya que ambos no siempre cuentan los mismos bytes. RelayBandwidthRate limita la tasa sostenida, lo cual mantiene el enlace de subida operativo y al proveedor tranquilo.

Cuando añada un segundo nodo de salida, colóquelo en una red distinta en lugar de en el mismo rack que el primero. La diversidad es una parte importante de lo que aporta un nodo de salida, y dos máquinas en el mismo lugar fallan a la vez. Agrúpelos en una misma familia, publique el mismo contacto verificado para ambos y responda a los correos de ambos. Un nodo de salida al que nadie puede contactar se trata como un problema anónimo. Un nodo de salida cuyo operador responde el mismo día se trata como un servidor con una persona detrás, que es lo que realmente es.

FAQ

¿Puedo ejecutar un nodo de salida de Tor en un VPS que ya tengo?

No, y este es el único punto en el que hay que ser estricto. Un nodo de salida necesita una dirección dedicada que no aloje nada más, en un proveedor que haya aceptado de antemano gestionar el tráfico de salida y reenviarle los correos de abuso sin editar. En un VPS de propósito general, incluidos los nuestros, esa dirección ya realiza otra función y comparte vecindario con clientes que ejecutan servicios ordinarios. Ejecute un repetidor que no sea de salida o un puente obfs4 en la máquina que ya tiene. Son genuinamente útiles, casi no generan quejas y no necesitan nada más que el equipo por el que ya paga.

¿Cuánto correo de abuso recibe un repetidor de salida de Tor y quién lo recibe?

Depende de su política de salida. Con ReducedExitPolicy 1, el puerto 25 rechazado y los puertos de intercambio de archivos excluidos, la mayor parte de lo que llega son escaneos automatizados e informes de ataques de fuerza bruta. Las directrices de salida de Tor sitúan los informes automatizados en aproximadamente el 80% del total. El correo llega a quien el departamento de abuso del proveedor lo reenvíe, por lo que debe preguntar antes de contratar si lo reenviarán a usted con la dirección del remitente intacta. Publique la misma dirección en ContactInfo y en la página de aviso del puerto 80, y responda en el plazo de un día laborable.

¿Tengo que publicar mi nombre real y dirección de correo electrónico?

Sí. ContactInfo se publica en el directorio público de repetidores y cualquiera puede descargarlo; el nombre de DNS inverso anuncia qué es la máquina y la página de aviso en el puerto 80 lo repite. Esa transparencia es el diseño, no un efecto secundario. Un nodo de salida sin un contacto que funcione es tratado como una molestia anónima, y algunos clientes excluyen los nodos de salida que no publican ningún contacto. Añada proof:uri-familyid-ed25519 y el archivo /.well-known/tor-relay/ed25519-family-id.txt en un dominio que usted controle, para que el contacto sea verificable en lugar de simplemente declarado.

¿Por qué mi nuevo repetidor de salida casi no transporta tráfico?

Primero compruebe que journalctl -u tor@default contiene Self-testing indicates your ORPort is reachable from the outside. Excellent., porque un repetidor que falla su prueba de alcanzabilidad nunca se publica y no transportará nada en absoluto. Si esa línea está presente, la respuesta suele ser el tiempo. Un repetidor aparece en Relay Search unas tres horas después del inicio, y los clientes solo le envían tráfico significativo una vez que la medición de ancho de banda de la red lo ha observado, lo cual lleva días. También se requiere una política que permita los puertos 80 y 443 antes de que su repetidor sea tratado como un nodo de salida.