Как запустить выходной узел Tor: руководство оператора

Что делает выходной узел Tor и кем он вас делает

Выходной узел Tor — это последний ретранслятор в цепочке: машина, которая открывает соединение с конечным пунктом назначения. В результате целевой сервер регистрирует адрес вашего сервера, а не адрес пользователя. Все остальные решения в этом руководстве вытекают из этого факта. Этот адрес считается источником всего проходящего через него трафика, поэтому он должен быть выделенным адресом, который не используется для других задач, у провайдера, согласившегося на передачу такого трафика.

Запуск выходного узла — это противоположность сокрытию. Ретранслятор указан в публичном каталоге, который может скачать любой желающий. Ваш контактный адрес находится в этом каталоге в поле ContactInfo, ваше обратное DNS-имя (domain name system) сообщает, чем является этот сервер, порт 80 отдает страницу с той же информацией, а на письма о нарушениях (abuse) вы отвечаете самостоятельно, от своего имени. Никто в этой системе не является более идентифицируемым, чем оператор выходного узла. Такова работа, и именно поэтому она эффективна.

Мы запускаем такие узлы. SSD Nodes управляет выходными ретрансляторами в нескольких странах в качестве своего вклада в свободу слова. Мы арендуем эти машины у провайдеров, которые осознанно согласились на работу с выходным трафиком, и мы не являемся для них провайдером. Это сделано намеренно, и в следующем разделе объясняется почему.

Где место выходному узлу, а где его быть не должно

Выходному узлу (exit relay) не место на VPS (virtual private server) общего назначения, включая наши собственные. Сети общего назначения обслуживают веб-сайты, почту, резервные копии и панели управления для тысяч независимых клиентов, чьи сервисы работают на соседних IP-адресах. Выходной трафик приводит к попаданию одного из этих адресов в отчеты о сканировании и спам-листы, что негативно сказывается на всех соседях. Провайдеры, которые корректно размещают выходные узлы, заранее подготовились к этому: они выделяют под них отдельное адресное пространство и имеют отдел по работе с жалобами (abuse desk), который уже знает, что такое Tor.

Поэтому хостинг-провайдер, написавший это руководство, рекомендует вам арендовать машину для этих целей в другом месте. Это наиболее полезный совет. Мы знаем, как выходной трафик влияет на IP-адрес, потому что сами платим другим компаниям за его передачу. Мы платим им, так как правильная обработка такого трафика — это бизнес, отличный от продажи VPS общего назначения.

The Tor Project говорит об этом более прямолинейно. На странице типов ретрансляторов указано, что выходные узлы «несут наибольшую юридическую ответственность среди всех типов ретрансляторов» и что «не следует запускать выходной узел Tor из дома». VPS общего назначения, на котором размещены ваши собственные проекты, ближе к «дому», чем кажется. Это машина, которая вам дорога, и адрес, который вы хотите сохранить «чистым».

Если у вас есть обычный VPS и вы хотите помочь сети на этой неделе, запустите на нем невыходной ретранслятор (non-exit relay) или мост (bridge). Это не «утешительный приз». Это другая задача с иным профилем рисков, и сети нужны оба варианта. Невыходной ретранслятор никогда не устанавливает соединение с конечным узлом, поэтому на него почти не поступает жалоб. Согласно рекомендациям Tor, для того чтобы ретранслятор был включен в список, требуется пропускная способность не менее 2 MByte/s (мегабайт в секунду) в каждом направлении. Мост — это непубличная точка входа для пользователей в цензурируемых сетях. Ему требуется круглосуточное соединение и один открытый TCP (transmission control protocol) порт, что делает его наиболее ценным вкладом, который может внести небольшой сервер. Оба этих варианта подходят для оборудования, которое у вас уже есть. Выходной узел — нет.

Как найти провайдера, лояльного к exit-узлам?

Задайте вопрос до оформления заказа в письменном виде и сохраните ответ. Рекомендации Tor по работе с exit-узлами советуют действовать в два этапа: сначала уточните, разрешает ли провайдер размещение exit-узла Tor в принципе, а затем — готов ли он выделить для этого отдельный IP-адрес или подсеть. Запрос всего сразу часто приводит к автоматическому отказу.

Четыре вопроса помогут понять, действительно ли провайдер готов к такой работе.

• Выделите ли вы отдельный IP-адрес, на котором не будет других сервисов, и установите ли вы обратную DNS-запись по моему запросу?
• Кто получает письма с жалобами (abuse), и будете ли вы пересылать их мне без изменений, сохраняя адрес отправителя, чтобы я мог ответить ему напрямую?
• Что произойдёт при получении первой жалобы: вы перешлёте её мне или сначала заблокируете адрес (null-route), а уже потом будете разбираться?
• Сколько exit-узлов уже работает в этой сети? Рекомендации Tor однозначны: «нет пользы в том, чтобы концентрировать слишком много exit-узлов у одного лояльного провайдера».

Последний вопрос важнее, чем кажется. Часть ценности exit-узла зависит от его расположения в сети. Ещё один узел в сети, где их уже пятьдесят, приносит меньше пользы, чем такой же узел в новом месте. Relay Search показывает, в каких сетях уже работают exit-узлы, поэтому вы можете проверить это до заключения договора.

Получите ответы до оплаты и приобретайте сервер на отдельный аккаунт, а не добавляйте его в учётную запись, где находятся ваши другие серверы. Насколько безопасен VPS-хостинг зависит прежде всего от того, что именно вы размещаете рядом, и это самый наглядный пример данного правила.

Один адрес, одна задача

IP-адрес выходного узла не должен использоваться ни для чего другого. Никаких веб-сайтов, почты, VPN, панелей мониторинга или личных SSH-хостов для перенаправления. Этот адрес попадет в черные списки, и любые другие сервисы, работающие на нем, начнут сбоить, что крайне сложно диагностировать. Узкоспециализированный адрес также позволяет дать краткий ответ на жалобы: этот адрес является выходным узлом Tor и ничем иным.

Перед установкой tor выполните стандартную настройку сервера. Используйте только SSH-ключи с отключенным входом по паролю и настройте межсетевой экран, разрешающий только те порты, которые вы планируете публиковать. В Hardening SSH on a VPS описана первая часть, а в ufw firewall basics — вторая. Выходной узел открывает для внешнего мира ровно два порта: ORPort для передачи трафика Tor и порт 80 для страницы с уведомлением об узле. Все остальные порты должны быть закрыты.

Включите автоматическую установку обновлений (unattended upgrades), так как выходной узел с устаревшей версией tor создает проблемы для всех пользователей, чей трафик проходит через него.

sudo apt update && sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

Не добавляйте логирование. Перехват открытого текста, покидающего выходной узел, технически прост, но это именно то, чего оператор никогда не должен делать. В EFF Tor legal FAQ операторам рекомендуется воздержаться от этого, поскольку законы о прослушивании в США и аналогичные нормы в других странах могут создать юридическую ответственность за анализ такого трафика. Оставьте уровень логирования tor по умолчанию (notice) и не меняйте его.

Установка Tor из репозитория Tor Project

Пакеты в дистрибутивах устаревают. Используйте официальный репозиторий Tor Project, чтобы исправления безопасности поступали в день их выпуска. По состоянию на август 2026 года текущая стабильная серия — 0.4.9.

sudo apt update
sudo apt install -y apt-transport-https gnupg wget
lsb_release -cs

Создайте /etc/apt/sources.list.d/tor.sources, заменив noble на кодовое имя, которое вывела команда lsb_release -cs:

Types: deb deb-src
URIs: https://deb.torproject.org/torproject.org/
Suites: noble
Components: main
Signed-By: /usr/share/keyrings/deb.torproject.org-keyring.gpg

Добавьте ключ подписи и выполните установку:

wget -qO- https://deb.torproject.org/torproject.org/A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89.asc | gpg --dearmor | sudo tee /usr/share/keyrings/deb.torproject.org-keyring.gpg >/dev/null
sudo apt update
sudo apt install -y tor deb.torproject.org-keyring
tor --version

Пакет deb.torproject.org-keyring автоматически поддерживает актуальность этого ключа, поэтому репозиторий не перестанет работать в день смены ключа. Если apt update сообщает о том, что один и тот же репозиторий настроен дважды, значит, он указан одновременно в файле .list и файле .sources; в статье ошибка дублирования источника deb822 описано, как это исправить.

DNS: ваш выходной узел выполняет разрешение имен для всех пользователей

Выходной узел выполняет поиск имен для каждой цепочки, проходящей через него, поэтому его резолвер видит поток имен, принадлежащих другим людям. Если направить этот поток на крупный публичный резолвер, вы передадите все данные одной компании, что ведет к централизации, которой операторам выходных узлов Tor следует избегать. Вместо этого запустите на сервере собственный валидирующий кэширующий резолвер.

sudo apt install -y unbound bind9-dnsutils
sudo cp /etc/resolv.conf /etc/resolv.conf.backup
echo "nameserver 127.0.0.1" | sudo tee /etc/resolv.conf
sudo chattr +i /etc/resolv.conf
sudo systemctl enable --now unbound

chattr +i помечает файл как неизменяемый, так как DHCP (dynamic host configuration protocol) клиенты и resolvconf перезаписывают /etc/resolv.conf по собственному расписанию. Без этой меры после перезагрузки настройки могут вернуться к резолверу провайдера, и вы не получите уведомления об этом изменении. Инструкции Tor для Debian и Ubuntu также включают минимизацию запросов имен (query name minimisation), которая отправляет каждому серверу имен только ту часть имени, которая ему действительно необходима:

server:
    qname-minimisation: yes

Разместите это в файле в каталоге /etc/unbound/unbound.conf.d/, а затем убедитесь, что резолвер отвечает:

sudo systemctl restart unbound
dig +short example.com @127.0.0.1

Наличие адреса в ответе означает, что unbound работает. Если unbound не запускается из-за address already in use, значит, другой процесс занял порт 53: выполните sudo ss -lntup | grep :53 и посмотрите, какой процесс его использует. В Ubuntu systemd-resolved прослушивает 127.0.0.53, поэтому он не конфликтует с unbound на 127.0.0.1.

Файл torrc для выходного реле

Debian-пакет считывает /etc/tor/torrc. Это вся конфигурация, относящаяся к работе выходного узла.

Nickname     exampleExit01
ORPort       443
ExitRelay    1
SocksPort    0
ContactInfo  email:tor[]example.org abuse:abuse[]example.org url:https://example.org ciissversion:3
ReducedExitPolicy 1
Log          notice syslog

Каждая строка здесь критически важна, поэтому разберем их по порядку.

ORPort 443 — это порт, к которому подключаются другие реле. Порт 443 пропускает трафик через строгие сети, блокирующие нестандартные порты, поэтому ваше реле будет доступно большему числу пользователей, чем при использовании стандартного 9001. Вы можете занять 443 порт только в том случае, если он не используется другими службами на этом сервере; это еще один аргумент в пользу выделенного IP-адреса.

SocksPort 0 отключает локальный SOCKS-прокси. Реле он не нужен, а SOCKS-порт, слушающий публичный адрес, — это открытый прокси, который будет обнаружен и использован злоумышленниками в течение нескольких часов.

ExitRelay 1 — это переключатель, который превращает узел в выходное реле. Установите его явно, вместо того чтобы полагаться на значения по умолчанию, чтобы конфигурационный файл четко описывал назначение машины.

ContactInfo публикуется в общедоступном каталоге для ознакомления. Заполните его в формате ContactInfo Information Sharing Specification, который распознается инструментарием сети, и обязательно укажите в нем ciissversion:3. Использование [] вместо @ — это стандарт, принятый в спецификации для затруднения работы парсеров адресов. Используйте почтовый ящик, который вы проверяете ежедневно, так как именно туда будут приходить жалобы на злоупотребления.

Если на сервере настроен IPv6, добавьте IPv6 ORPort и разрешите выходной трафик через IPv6. Если IPv6 отсутствует, не добавляйте эти параметры, так как реле, заявляющее адрес, который оно не может использовать, не пройдет проверку доступности.

ORPort   [2001:db8::1]:443
IPv6Exit 1

Политика выхода: какие порты разрешены

Политика выхода — это список направлений, к которым ваш ретранслятор готов подключаться. Tor считывает его сверху вниз, и первое совпавшее правило считается решающим. ReducedExitPolicy 1 выбирает тщательно подобранный список из примерно семидесяти портов, охватывающий веб-трафик, отправку почты, чаты и git, исключая порты, вызывающие наибольшее количество жалоб. Это оптимальная отправная точка для первого выходного узла.

Стоит запомнить два правила. ExitPolicyRejectPrivate включено по умолчанию и запрещает выходному узлу подключаться к диапазонам частных адресов и к собственным адресам ретранслятора; это предотвращает попытки направить трафик во внутреннюю сеть вашего провайдера. Порт 25 (SMTP, simple mail transfer protocol) отклоняется, и его следует оставить закрытым, так как его открытие превратит ретранслятор в источник спама, а IP-адрес будет заблокирован в течение нескольких дней.

Чтобы выходной узел был хоть сколько-нибудь полезен, он должен разрешать порты 80 и 443. Документация по выходным ретрансляторам Tor прямо указывает на этот минимум. Если ваш провайдер требует более строгих ограничений, чем сокращенная политика, то выходной узел, работающий только с веб-трафиком, все равно будет значимым вкладом:

ExitPolicy accept *:80
ExitPolicy accept *:443
ExitPolicy reject *:*

Завершите список правилом reject *:*, чтобы политика была полной и не наследовала ничего лишнего. Сокращенная политика разрешает порт 22 (SSH), который обычно является источником отчетов о переборе паролей (brute-force), поэтому добавьте ExitPolicy reject *:22 перед остальными правилами, если не хотите получать подобные уведомления. Порты для обмена файлами в диапазоне 6881-6999 обычно становятся причиной жалоб на нарушение авторских прав, и сокращенная политика их уже исключает.

Изменения в политике вступают в силу для клиентов только после того, как ваш ретранслятор опубликует новый дескриптор и он распространится по каталогам, поэтому подождите несколько часов, прежде чем оценивать результат.

Контактная информация, ключи семейства и регистрация реле

Регистрация выходного узла означает привязку его к имени, которое может проверить любой пользователь. Для этого используются два механизма, работающие совместно.

Первый — это общеизвестный файл. Опубликуйте идентификатор вашего семейства на домене, который вы контролируете, а затем укажите этот файл в ContactInfo:

ContactInfo email:tor[]example.org url:https://example.org proof:uri-familyid-ed25519 ciissversion:3

Файл размещается по адресу https://example.org/.well-known/tor-relay/ed25519-family-id.txt и содержит ID вашего семейства. Теперь любой желающий может подтвердить, что владелец домена управляет и этими реле. В этом заключается разница между контактным адресом и верифицированным.

Второй механизм — само семейство. Если вы запускаете более одного реле, сеть должна знать, что у них один оператор, чтобы клиент не построил цепочку через два ваших узла. Современный tor делает это с помощью ключа семейства, называемого Happy Families, на реле с версией 0.4.9.2-alpha или новее:

tor --keygen-family exampleFamily

Эта команда создает exampleFamily.secret_family_key и выводит строку FamilyId. Скопируйте файл секретного ключа в каталог ключей каждого реле (/var/lib/tor/keys в Debian и Ubuntu), сохраните расширение .secret_family_key в имени файла, добавьте выведенную строку FamilyId в каждый torrc и перезагрузите tor. Документация Tor прямо указывает, что необходимо по-прежнему использовать устаревшую опцию MyFamily, перечисляя отпечатки всех реле, пока проект не объявит о том, что она больше не требуется, поэтому настройте оба варианта. Отпечаток каждого реле находится в /var/lib/tor/fingerprint.

Начиная со второго и третьего сервера, вопросы эксплуатации становятся важнее, и управление несколькими серверами Linux одновременно здесь решается так же, как и везде. Создайте резервную копию /var/lib/tor/keys вне сервера. Если вы потеряете этот файл, реле вернется в сеть как «незнакомец» и будет вынуждено заново зарабатывать каждый флаг и всю репутацию с нуля.

Также подпишитесь на список рассылки tor-relays. Изменения, затрагивающие операторов, анонсируются там в первую очередь.

Обратная DNS-запись и уведомление на 80 порту

Настройте обратную DNS-запись до того, как реле начнет передавать трафик. Согласно рекомендациям Tor для exit-узлов, имя должно указывать на назначение сервера, например, tor-exit-01.example.org. Это имеет практический смысл. Когда в логах администратора появляется неизвестный адрес, первое, что он делает — выполняет обратный поиск. Имя, содержащее "tor-exit", отвечает на вопрос до того, как вам напишут жалобу, что позволяет избежать части претензий. Попросите провайдера установить PTR-запись и добавьте соответствующую прямую запись с вашей стороны.

Затем разместите на 80 порту страницу с уведомлением, содержащую аналогичную информацию. В старых руководствах для этого используется настройка DirPortFrontPage, которая зависит от DirPort. Параметр DirPort считается устаревшим для реле начиная с версии tor 0.4.6.5, поэтому используйте вместо него небольшой веб-сервер.

sudo apt install -y nginx
sudo install -d -m 755 /srv/tor-exit-notice

Создайте файл /srv/tor-exit-notice/index.html:

<!DOCTYPE html>
<html>
<head><title>This is a Tor exit relay</title></head>
<body>
<h1>This is a Tor exit relay</h1>
<p>Traffic from this address was sent by a user of the Tor network. It did not
come from the operator of this machine, and this machine keeps no record of
who sent it.</p>
<p>Operator: Example Org. Abuse reports: abuse@example.org. Every report gets a
reply from a person.</p>
<p>To check whether this address was a Tor exit at a given date and time:
https://metrics.torproject.org/exonerator.html</p>
</body>
</html>

Запишите этот блок конфигурации сервера в /etc/nginx/sites-available/tor-exit-notice:

server {
    listen 80 default_server;
    listen [::]:80 default_server;
    server_name _;
    root /srv/tor-exit-notice;
    index index.html;
    access_log off;
}

Включите конфигурацию, удалите стандартный сайт nginx и проверьте результат:

sudo ln -sf /etc/nginx/sites-available/tor-exit-notice /etc/nginx/sites-enabled/tor-exit-notice
sudo rm -f /etc/nginx/sites-enabled/default
sudo nginx -t && sudo systemctl reload nginx
curl -s http://127.0.0.1/ | head -n 5

nginx -t с выводом syntax is ok и test is successful означает, что синтаксис файла корректен. Команда curl должна вывести первые строки вашего уведомления. Если выводится приветственная страница nginx, значит, стандартный сайт всё ещё активен, а ваш блок не используется.

Запустите его и прочитайте содержимое лога

sudo systemctl restart tor@default
sudo journalctl -u tor@default -n 50 --no-pager

Через несколько минут в логе должна появиться строка, означающая, что другие реле могут подключиться к вам:

Self-testing indicates your ORPort is reachable from the outside. Excellent.

Если эта строка не появляется, значит, ORPort недоступен. Убедитесь, что tor прослушивает порт с помощью sudo ss -lntp | grep 443, затем проверьте доступность порта с другой машины командой nc -vz your.address.here 443. Обычно причиной является межсетевой экран перед VPS — ваш собственный или настроенный в панели управления провайдера.

Проверьте, что сервис запускается после перезагрузки с помощью systemctl is-enabled tor; команда должна вывести enabled.

Реле появится в Relay Search примерно через 3 часа после запуска под выбранным вами псевдонимом. Объем трафика будет расти в течение нескольких дней, так как алгоритму измерения пропускной способности сети необходимо некоторое время для оценки вашего реле, прежде чем клиенты начнут активно его использовать. Для нового выходного узла отсутствие значительного трафика в первый день — это нормальное явление.

План действий при получении жалоб и примеры писем

Подготовьте план действий до получения первой жалобы, так как обычно она поступает в течение первой недели. Большая часть таких писем генерируется автоматически. Согласно рекомендациям Tor по работе с выходными узлами, автоматизированные отчеты составляют около 80% от общего объема, а стандартный ответ закрывает большинство оставшихся случаев.

Вот что обычно приходит: отчет о сканировании или брутфорсе, сформированный системой обнаружения вторжений (IDS) с указанием вашего IP-адреса и метки времени. Уведомление о нарушении авторских прав, если ваша политика допускает использование портов для обмена файлами. Жалоба на спам в комментариях или на форуме от владельца сайта. Иногда поступают запросы на сохранение данных или повестки от правоохранительных органов — это отдельная категория, при получении которой следует обратиться к юристу, а не использовать шаблон.

Ответ должен быть кратким и почти всегда одинаковым:

Hello,

Thank you for the report. The address 203.0.113.10 is a Tor exit relay,
operated by <your name> at <your organisation>. The connection you saw was
made by a user of the Tor network. It did not originate on this machine.

This relay keeps no record of which user made which connection, so I cannot
identify the sender and there are no logs for me to hand over.

You can confirm that this address was a Tor exit at the date and time in
question here: https://metrics.torproject.org/exonerator.html

If you would prefer to stop Tor traffic reaching your service, the current
list of exit addresses is published here:
https://check.torproject.org/torbulkexitlist

I read this mailbox personally and will answer any follow-up.

<your name>

Эффективность этого подхода обеспечивают четыре правила. Отвечайте в течение одного рабочего дня с адреса, указанного в ContactInfo, и подписывайтесь собственным именем. Никогда не обещайте деанонимизировать пользователя, так как вы не можете этого сделать, а оператору, который пообещал обратное, придется нарушить свое слово. Храните все ответы в одной папке, чтобы на повторное письмо по тому же инциденту отправить тот же ответ. Если провайдер пересылает жалобу с предупреждением о блокировке, сначала ответьте провайдеру, а затем отправителю жалобы.

Основную нагрузку в таких ответах несут две ссылки. ExoneraTor отвечает на главный вопрос следователя: был ли этот адрес выходным узлом Tor в указанный момент времени. Список выходных узлов — это простой перечень текущих выходных адресов (по одному в строке) для тех, кто решил блокировать Tor и предпочитает делать это точно, а не наугад.

Пропускная способность, стоимость и второй релей

Выходные узлы передают реальный трафик. Определите ежемесячный лимит перед заказом и уточните, как провайдер тарифицирует превышение, поскольку реальная стоимость VPS чаще зависит от объема трафика, чем от базовой цены. Tor позволяет ограничить использование ресурсов с вашей стороны:

AccountingMax 4 TBytes
AccountingStart month 1 00:00
RelayBandwidthRate 20 MBytes
RelayBandwidthBurst 25 MBytes

AccountingMax переводит tor в режим гибернации после передачи указанного объема данных в течение отчетного периода и возобновляет работу в начале следующего. Сравните показатели первого месяца со счетчиком провайдера, прежде чем доверять этим цифрам, так как методы подсчета байтов могут различаться. RelayBandwidthRate ограничивает скорость передачи, что позволяет поддерживать стабильность канала и не вызывать претензий со стороны провайдера.

При добавлении второго выходного узла разместите его в другой сети, а не в той же стойке, где находится первый. Разнообразие — ключевой вклад выходного узла, а два сервера в одном месте выходят из строя одновременно. Объедините их в одну семью (family), укажите одинаковые проверенные контактные данные для обоих и отвечайте на письма по обоим адресам. Выходной узел, с которым невозможно связаться, воспринимается как анонимная проблема. Выходной узел, оператор которого отвечает в тот же день, воспринимается как сервер, за которым стоит человек, что соответствует действительности.

FAQ

Можно ли запустить Tor exit node на уже имеющемся VPS?

Нет, и в этом вопросе нужно быть строгим. Выходной узел требует выделенного IP-адреса, на котором не размещено ничего другого, и провайдера, который заранее согласился пропускать выходной трафик и пересылать вам письма о нарушениях (abuse reports) без изменений. На обычном VPS, включая наши, этот адрес уже выполняет другие задачи и находится в одной подсети с клиентами, использующими стандартные сервисы. Запустите на имеющейся машине невыходной ретранслятор (non-exit relay) или obfs4 bridge. Они действительно полезны, почти не вызывают жалоб и не требуют ничего, кроме сервера, за который вы уже платите.

Сколько писем о нарушениях получает Tor exit relay и кто их получает?

Это зависит от вашей политики выхода (exit policy). При использовании ReducedExitPolicy 1, с закрытым портом 25 и исключенными портами для файлообменных сетей, большую часть входящих сообщений составляют отчеты об автоматическом сканировании и попытках подбора паролей. Согласно рекомендациям Tor, автоматические отчеты составляют около 80% от общего объема. Почта поступает тому, кому её пересылает отдел по работе с нарушениями провайдера, поэтому перед заказом сервера уточните, пересылают ли они письма вам с сохранением адреса отправителя. Укажите этот же адрес в ContactInfo и на странице уведомления на порту 80, и отвечайте в течение одного рабочего дня.

Нужно ли публиковать свои реальные имя и адрес электронной почты?

Да. ContactInfo публикуется в общедоступном каталоге ретрансляторов, и любой желающий может его загрузить; обратная DNS-запись сообщает, чем является эта машина, а страница уведомления на порту 80 дублирует эту информацию. Такая прозрачность — это особенность архитектуры, а не побочный эффект. Выходной узел без работающих контактных данных воспринимается как анонимная помеха, и некоторые клиенты исключают из списка узлы, не публикующие контакты вовсе. Добавьте proof:uri-familyid-ed25519 и файл /.well-known/tor-relay/ed25519-family-id.txt на домен, который вы контролируете, чтобы контактные данные можно было проверить, а не просто принять на веру.

Почему мой новый выходной ретранслятор почти не передает трафик?

Сначала убедитесь, что journalctl -u tor@default содержит Self-testing indicates your ORPort is reachable from the outside. Excellent., так как ретранслятор, не прошедший проверку доступности, не публикуется и не будет передавать трафик. Если эта строка присутствует, причина обычно во времени. Ретранслятор появляется в Relay Search примерно через три часа после запуска, а клиенты начинают направлять на него значимый трафик только после того, как система измерения пропускной способности сети зафиксирует его работу, на что уходят дни. Также для того, чтобы ваш ретранслятор начал работать как выходной узел, необходима политика, разрешающая порты 80 и 443.