Как настроить Tor-релей на VPS: пошаговое руководство

Что делает Tor-релей на VPS

Tor-релей — это демон Tor, запущенный на машине с публичным IP-адресом, который пересылает зашифрованный трафик других пользователей. Директории (directory authorities) публикуют информацию о нём, а Tor-клиенты строят через него цепочки соединений. Релей типа guard или middle передаёт трафик только другим релеям, поэтому он никогда не устанавливает соединение с веб-сайтами от имени сторонних лиц. Именно этот факт объясняет отсутствие жалоб на злоупотребления (abuse mail) и делает запуск релея подходящим вкладом для обычного VPS. Релей лишь переносит чужой трафик и не публикует ничего своего. Если ваша цель — разместить собственный сайт в сети, а не пересылать пакеты, то запуск v3 onion-сервиса за nginx — это другая задача для того же демона tor. Запуск релея также никак не влияет на конфиденциальность вашего собственного веб-сёрфинга; это отдельная проблема с более низким порогом эффективности, чем принято считать: что на самом деле скрывает самостоятельный хостинг SearXNG даёт верное представление о том, насколько помогает перенос сервиса на собственный VPS.

Работа несложная: один пакет, пятнадцать строк конфигурации, одно правило файрвола, один перезапуск. Остальная часть этого руководства посвящена тому, что может пойти не так. Арифметика пропускной способности на тарифах с лимитированным трафиком и причина, по которой абсолютно исправный новый релей может выглядеть неактивным в течение недели.

Guard, middle, bridge или exit: выберите роль перед установкой

Один демон выполняет все четыре роли. Ваша конфигурация вместе с данными от directory authorities определяет, кем именно вы являетесь.

• Middle relay. Принимает трафик от guard и передаёт его другому реле. Никогда не связывается с целевым сайтом. Каждое новое реле начинает работу в этой роли.
• Guard relay. Та же конфигурация, но с дополнительным флагом. Directory authorities присваивают флаг Guard реле, которые достаточно долго работали быстро и стабильно. Вы не выбираете эту роль. Вы её заслуживаете, а приведённая ниже конфигурация помогает этого добиться.
• Bridge. Реле, которое намеренно скрыто из публичного каталога и предоставляется пользователям в частном порядке там, где Tor заблокирован. Это наименьшая нагрузка из всех четырёх ролей: низкая пропускная способность, отсутствие в публичных списках и подходящий первый шаг, если ваш план ограничен. Также требуется запуск obfs4 proxy параллельно с демоном и другой набор строк в torrc, что подробно описано в настройке obfs4 bridge на недорогом VPS, включая способ передачи пользователям строки bridge в конце.
• Exit relay. Последний узел, который открывает соединение с целевым сайтом. Каждый запрос пользователя исходит с вашего IP-адреса, поэтому жалобы на злоупотребления и запросы правоохранительных органов приходят владельцу этого адреса.

Роль exit — единственная, которая не подходит для VPS общего назначения. Запускайте exit только у провайдера, который заранее согласился получать такие письма, предоставил выделенный IP-адрес и опубликовал контакт для жалоб. Большинство стандартных условий хостинга запрещают это, и обычным результатом игнорирования правил становится блокировка сервера и потеря IP-адреса. Если вы всё же хотите выбрать эту роль, в том, что на самом деле означает запуск exit relay, рассказывается о поиске хостинга, лояльного к exit-узлам, написании exit policy, настройке reverse DNS и ответах на поступающие письма. Guard или middle relay передают тот же пользовательский трафик без подобных рисков.

Всё, что описано ниже, относится к настройке guard/middle relay. ExitRelay 0 — это строка, которая ограничивает работу сервера именно этими ролями.

Что нужно подготовить на VPS перед началом работы

The Tor Project публикует жесткие требования к реле. По состоянию на август 2026 года они таковы: один публичный IPv4-адрес для реле, пропускная способность не менее 10 Мбит/с в каждом направлении (рекомендуется 16 Мбит/с), не менее 100 ГБ исходящего трафика в месяц и 512 МБ оперативной памяти при скорости ниже 40 Мбит/с или 1 ГБ при более высокой скорости. Фиксированных требований к аптайму нет, но реле, работающее менее двух часов в сутки, приносит сети мало пользы.

Показатель 10 Мбит/с описывает возможности канала, а не настройки. Вам нужен порт, способный обеспечить такую скорость. Какую часть этого канала разрешить использовать реле — отдельное решение, которое принимается с учетом месячного лимита трафика. Изучите свой тарифный план, прежде чем приступать к настройке. Если вы еще выбираете сервер, в сколько на самом деле обходится VPS в месяц описано, как продаются лимиты трафика, а в измерении реальной пропускной способности сети VPS показано, как проверить возможности канала с помощью iperf3, не доверяя рекламным страницам.

Сначала обезопасьте машину. Реле — это публичный сервис на публичном адресе, и этот адрес начинают сканировать через несколько минут после публикации. Ограничение доступа по SSH с использованием ключей и настройка защищенной конфигурации sshd занимает десять минут и должно быть выполнено до запуска реле, а не после.

Установка Tor из репозитория Tor Project

Используйте официальный apt-репозиторий Tor Project вместо пакетов из дистрибутива. Код ретрансляторов обновляется быстрее, чем стабильные релизы, поэтому исправления попадают в этот репозиторий первыми, в то время как пакеты дистрибутива отстают между релизами.

sudo apt update
sudo apt install -y apt-transport-https gnupg wget

Добавьте ключ подписи, а затем сам репозиторий. Кодовое имя считывается с системы, поэтому один и тот же блок команд работает как в Ubuntu 24.04 (noble), так и в Debian 13 (trixie).

wget -qO- https://deb.torproject.org/torproject.org/A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89.asc \
  | gpg --dearmor \
  | sudo tee /usr/share/keyrings/deb.torproject.org-keyring.gpg >/dev/null

CODENAME=$(. /etc/os-release && echo "$VERSION_CODENAME")
echo "$CODENAME"

sudo tee /etc/apt/sources.list.d/tor.sources >/dev/null <<EOF
Types: deb deb-src
URIs: https://deb.torproject.org/torproject.org/
Suites: $CODENAME
Components: main
Signed-By: /usr/share/keyrings/deb.torproject.org-keyring.gpg
EOF

sudo apt update
sudo apt install -y tor deb.torproject.org-keyring
tor --version

tor --version выводит версию, которую вы только что установили. Если apt update выдала ошибку NO_PUBKEY, значит, ключ в формате dearmor отсутствует по пути, указанному в строке Signed-By:, поэтому у apt нет ключа для проверки файла релиза. Пакет deb.torproject.org-keyring важен для дальнейшей работы: он содержит ключ подписи как обычный пакет, что позволяет apt продолжать работу при смене ключа.

Включите автоматические обновления, а затем добавьте в них новый источник.

sudo apt install -y unattended-upgrades apt-listchanges

В Ubuntu добавьте источник Tor в блок Allowed-Origins в файле /etc/apt/apt.conf.d/50unattended-upgrades:

Unattended-Upgrade::Allowed-Origins {
        "${distro_id}:${distro_codename}-security";
        "TorProject:${distro_codename}";
};

В Debian в этом же файле используется Origins-Pattern, где необходимо добавить строку "origin=TorProject";. Проверьте результат с помощью sudo unattended-upgrade --debug --dry-run: команда выведет список источников, с которыми будет работать система, и не внесет никаких изменений.

Файл torrc, который имеет значение

Пакет устанавливает длинный, снабженный подробными комментариями /etc/tor/torrc. Для работы реле важны лишь несколько строк. Добавьте их в конец файла.

Nickname mynicerelay
ContactInfo relay-ops[at]example.com
ORPort 9001
ExitRelay 0
SocksPort 0

Nickname — это имя длиной от 1 до 19 символов, состоящее только из букв и цифр. Оно не является уникальным в сети и не служит вашим идентификатором; идентификатором является отпечаток (fingerprint). Это имя поможет вам найти собственное реле в строке поиска, поэтому выберите то, которое легко продиктовать по телефону.

ContactInfo публикуется в дескрипторе реле — общедоступном документе, который может скачать любой желающий, поэтому адрес будет собран парсерами. Используйте адрес, который вы будете проверять и через два года, и при желании скройте его. Это единственный канал, через который Tor Project может предупредить вас о проблемах с вашим реле.

ORPort 9001 — это порт, к которому подключаются другие реле и клиенты. Стандартом является 9001. Порт 443 — другой популярный выбор, так как некоторые ограничивающие сети разрешают только исходящий трафик через 443, поэтому реле, работающее на этом порту, доступно большему числу клиентов. Выбирайте 443, только если он не нужен другим сервисам на сервере.

SocksPort 0 отключает локальный SOCKS-прокси, который не используется реле, и удаляет один слушающий сокет с машины. ExitRelay 0 фиксирует это намерение в файле: данное реле никогда не будет подключаться к узлам от имени пользователя, и любому, кто будет читать конфигурацию позже, не придется выяснять это по значениям по умолчанию.

Если VPS имеет IPv6-адрес, добавьте вторую строку ORPort. Tor не может привязываться к «любому» IPv6-адресу так же, как к IPv4, поэтому укажите адрес в квадратных скобках.

ORPort 9001
ORPort [2001:db8::1]:9001

На VPS с 1 GB оперативной памяти добавьте MaxMemInQueues 512 MB. Tor определяет лимит очереди на основе общего объема памяти, видимого системе, что на небольшом виртуальном сервере может привести к избыточному потреблению. Установка лимита вручную заставляет Tor отбрасывать пакеты (cells) при высокой нагрузке, что позволяет реле продолжить работу, вместо того чтобы разрастаться до тех пор, пока ядро не завершит процесс принудительно.

Открытие ORPort в межсетевом экране

Входящий трафик на ORPort должен быть доступен из любой точки интернета. Исходящий трафик для реле следует оставить без ограничений: он открывает соединения с тысячами других реле на множестве различных портов, и список разрешенных исходящих соединений (allowlist) приведет к неработоспособности узла.

sudo ufw allow 9001/tcp comment 'tor ORPort'
sudo ufw status verbose

Затем проверьте сетевой экран на стороне провайдера. Многие панели управления используют фильтр пакетов перед виртуальной машиной, поэтому правила, добавленные через ufw, там не действуют: порт будет отображаться как открытый на самом сервере, но закрытый снаружи. Если вы не знакомы с ufw, в правилах ufw, которые должны быть на каждом VPS описаны политика по умолчанию и порядок применения правил.

Расчет пропускной способности согласно тарифному плану

В руководстве RelayBandwidthRate описывается как отдельный маркерный корзинный алгоритм (token bucket), который ограничивает «среднюю входящую пропускную способность для ретранслируемого трафика на этом узле до указанного количества байт в секунду, а среднюю исходящую пропускную способность — до того же значения». Прочитайте это дважды. Ограничение применяется к каждому направлению отдельно. Ретранслятор, настроенный на 1 Mbit/s, может передавать 1 Mbit/s входящего и 1 Mbit/s исходящего трафика одновременно, а провайдер, который учитывает оба направления, выставит счет за их сумму.

[
  {
    "label": "1 Mbit/s",
    "torrc_rate": "125 KBytes",
    "gb_per_day": 21.6,
    "gb_per_month": "648"
  },
  {
    "label": "2 Mbit/s",
    "torrc_rate": "250 KBytes",
    "gb_per_day": 43.2,
    "gb_per_month": "1,296"
  },
  {
    "label": "5 Mbit/s",
    "torrc_rate": "625 KBytes",
    "gb_per_day": 108,
    "gb_per_month": "3,240"
  },
  {
    "label": "10 Mbit/s",
    "torrc_rate": "1250 KBytes",
    "gb_per_day": 216,
    "gb_per_month": "6,480"
  },
  {
    "label": "20 Mbit/s",
    "torrc_rate": "2500 KBytes",
    "gb_per_day": 432,
    "gb_per_month": "12,960"
  }
]

Эти 5 строк — арифметический расчет, а не замер: они показывают стоимость скорости, если ретранслятор поддерживает её в течение полных 30 дней в обоих направлениях. Реальный ретранслятор большую часть времени работает ниже своего лимита, особенно в первые недели. Используйте таблицу, чтобы исключить настройки, которые не вписываются в бюджет, а не для прогнозирования счета с точностью до гигабайта.

При 1 Mbit/s в каждом направлении ретранслятор передает около 21.6 ГБ в день, поэтому 30-дневный месяц обходится примерно в 648 ГБ учитываемого трафика. Это укладывается в лимит 1 ТБ с запасом для обновлений и резервных копий. При переходе на 2 Mbit/s месяц обходится в 1,296 ГБ, что уже превышает план в 1 ТБ. Последняя строка, 20 Mbit/s, требует 12,960 ГБ в месяц и предназначена для портов с безлимитным трафиком. Если ваш провайдер учитывает только исходящий трафик, разделите каждое значение пополам. Выясните, какой тип учета у вас, прежде чем устанавливать скорость, так как ответы различаются в два раза.

Теперь перейдем к конфигурации. Сначала ограничение скорости, затем квота.

RelayBandwidthRate 125 KBytes
RelayBandwidthBurst 250 KBytes
AccountingMax 400 GBytes
AccountingRule sum
AccountingStart month 1 00:00

RelayBandwidthBurst — это размер маркерной корзины, он позволяет кратковременные всплески выше установленной скорости при сохранении среднего значения. Разумным значением является примерно удвоенная скорость.

AccountingRule — это параметр, который упускают большинство операторов. Значение по умолчанию — max, которое сравнивает с квотой большее из двух направлений. При настройках по умолчанию AccountingMax 400 GBytes разрешает 400 ГБ входящего и 400 ГБ исходящего трафика, что составляет 800 ГБ на счетчике, учитывающем оба направления. AccountingRule sum учитывает сумму чтения и записи против одной квоты, что соответствует тому, как на самом деле измеряется лимит передачи данных.

Также укажите AccountingStart, никогда не используйте AccountingMax отдельно. Квота — это число, а строка начала периода — это время, когда она сбрасывается. Квота без указания периода приведет к тому, что ретранслятор уйдет в спящий режим без возможности автоматического возобновления работы.

Спящий режим — это грубый инструмент. Когда квота исчерпана, tor записывает это в логи и перестает принимать задачи:

Bandwidth soft limit reached; commencing hibernation. No new connections will be accepted

Ретранслятор не просыпается в точное время начала следующего периода. Tor отслеживает, как быстро была израсходована предыдущая квота, и выбирает случайную точку внутри нового интервала, чтобы тысячи ретрансляторов не возвращались в сеть в одну и ту же секунду. Ретранслятор, который исчезает на последнюю неделю каждого месяца, теряет стабильность, по которой его оценивают директории (directory authorities). Установите RelayBandwidthRate так, чтобы лимит никогда не достигался, а AccountingMax оставьте в качестве предохранителя для защиты вашего бюджета.

Запуск реле и проверка доступности

sudo systemctl restart tor@default
sudo systemctl status tor@default
sudo journalctl -u tor@default -n 50

Через несколько минут в логе должна появиться следующая строка:

Self-testing indicates your ORPort is reachable from the outside. Excellent. Publishing server descriptor.

Эта фраза означает, что другие реле подключились к вашему ORPort и построили через него цепочку. Пока эта строка не появится, ваше реле отсутствует в каталоге и не передает никакой трафик. Ошибка выглядит так:

Your server has not managed to confirm reachability for its ORPort(s) at 203.0.113.10:9001. Relays do not publish descriptors until their ORPort and DirPort are reachable. Please check your firewalls, ports, address, /etc/hosts file, etc.

Проверяйте пункты по порядку. Открыт ли ORPort в ufw. Открыт ли он также во внешнем сетевом файрволе провайдера. Является ли адрес в этом сообщении адресом, по которому интернет действительно направляет трафик к вам, а не частным адресом из конфигурации NAT. Протестируйте порт с другой машины с помощью nc -vz 203.0.113.10 9001. Tor периодически повторяет самопроверку самостоятельно, поэтому исправление настроек файрвола будет замечено без вашего участия, а перезапуск ускорит этот процесс.

Постоянным идентификатором вашего реле является его отпечаток (fingerprint):

sudo cat /var/lib/tor/fingerprint

Примерно через 3 часа после публикации дескриптора реле появится в Relay Search. Выполните поиск по псевдониму или вставьте отпечаток. Эта страница показывает, как сеть воспринимает ваше реле: какие флаги оно имеет, какой вес ему присваивают авторитетные узлы (authorities) и какую версию оно публикует.

Почему новый Tor relay почти не получает трафика?

Потому что сеть еще не измерила его пропускную способность, а процесс измерения занимает недели. The Tor Project описывает этот процесс в четыре этапа, но операторы, которые не ознакомились с документацией, часто решают, что релей неисправен, и начинают менять настройки.

В течение первых трех дней релей считается неизмеренным. Он сообщает о результатах собственного самотестирования, но directory authorities в любом случае ограничивают его опубликованный вес значением 20 KB, поэтому клиенты почти никогда его не выбирают. Примерно с третьего по восьмой день bandwidth authorities проводят реальные измерения, и вес релея постепенно растет. Однако он используется только как промежуточный узел (middle hop), так как ни один клиент не готов выбрать новый релей в качестве первого узла (guard).

Примерно на восьмой день релей получает право на флаг Guard. Получение этого флага приводит к неожиданному для многих падению трафика: клиенты исключают guard-узлы при выборе промежуточных узлов, полагая, что guard и так загружен. В результате релей теряет часть промежуточного трафика быстрее, чем успевает получить трафик в качестве guard-узла. Объем трафика восстанавливается только по мере того, как клиенты обновляют свои списки guard-узлов, что занимает недели. Примерно к 68 дню достигается стабильное состояние, при котором количество клиентов, исключающих релей, уравновешивается количеством новых клиентов, добавляющих его.

Таким образом, нормальным ожиданием является отсутствие трафика в течение трех дней, появление некоторого объема через неделю и полноценная нагрузка через два месяца. Измените одну настройку и подождите неделю, чтобы оценить результат. Собственная страница статуса Uptime Kuma с TCP-проверкой порта 9001 — более полезное применение для нервной энергии: она отвечает на вопрос, который вы действительно можете контролировать, а именно — отвечает ли порт на запросы.

Мониторинг реле через nyx

nyx — это терминальный монитор для работающего реле. Он взаимодействует с control port в Tor, поэтому сначала включите его в torrc:

ControlPort 9051
CookieAuthentication 1
CookieAuthFileGroupReadable 1

ControlPort прослушивает только 127.0.0.1, а cookie authentication означает, что программа должна прочитать секретный файл, прежде чем сможет отправлять команды. Tor записывает этот файл cookie в /run/tor/control.authcookie от имени пользователя debian-tor с правами доступа 600, чтобы никто другой не мог его прочитать. CookieAuthFileGroupReadable 1 открывает доступ к файлу для группы, что позволяет вашей учетной записи запускать nyx без sudo.

sudo apt install -y nyx
sudo adduser "$USER" debian-tor
sudo systemctl restart tor@default

Выйдите из системы и войдите снова, затем запустите nyx. Новая группа должна быть применена при входе в систему, поэтому запуск nyx в той же сессии оболочки приведет к ошибке доступа к файлу cookie, даже если конфигурация верна. nyx отображает текущую пропускную способность, время работы, поток логов и список соединений. В первые недели основной показатель, за которым стоит следить — это график пропускной способности, который должен оставаться в пределах вашего RelayBandwidthRate.

Запуск нескольких ретрансляторов: MyFamily и ключи семейства

Если у вас только один ретранслятор, пропустите этот раздел. Два и более ретранслятора, управляемые одним оператором, должны быть связаны друг с другом. Это необходимо, чтобы клиенты не строили цепочку, которая входит и выходит через ваши машины: в противном случае оператор мог бы видеть оба конца соединения.

Традиционный способ — использование MyFamily в файле torrc каждого ретранслятора с перечислением отпечатков (fingerprints) всех остальных узлов:

MyFamily AAAAAAAAAA,BBBBBBBB

Каждый ретранслятор должен содержать список всех остальных, поэтому добавление четвёртого узла требует редактирования четырёх файлов. В Tor 0.4.9 этот механизм был заменён ключом семейства. Сгенерируйте один ключ и распространите его:

tor --keygen-family myfamily

Эта команда создаст файл myfamily.secret_family_key и выведет строку FamilyId. Скопируйте файл ключа на каждый ретранслятор в подкаталог keys внутри DataDirectory (/var/lib/tor/keys в Debian и Ubuntu), сохранив суффикс .secret_family_key. Добавьте выведенную строку FamilyId в каждый файл torrc и выполните перезагрузку с помощью sudo systemctl reload tor@default. Список MyFamily пока также оставьте на месте. Клиенты, которые ещё не поддерживают сертификаты семейств, продолжают использовать старый список; Tor Project сообщит, когда его можно будет удалить.

Что может выйти из строя после запуска

Версия устаревает. Функция unattended upgrades заменяет пакет, но запущенный процесс продолжает использовать старый бинарный файл до тех пор, пока сервис не будет перезапущен. Сравните tor --version на сервере с версией, указанной на странице Relay Search. Если они различаются, сеть всё ещё видит старую версию, поэтому перезапустите сервис.

Синхронизация времени нарушается. Документы консенсуса и сертификаты ограничены по времени, поэтому сервер с сильно расходящимися часами отклоняет консенсус и прекращает публикацию данных. timedatectl должен показывать, что системное время синхронизировано. Если это не так, включите systemd-timesyncd или установите chrony.

Меняется IP-адрес. Дескриптор содержит адрес, и клиенты не могут подключиться к узлу, который сменил местоположение. После любой миграции к другому провайдеру или смены адреса перезапустите tor и снова дождитесь появления строки с результатами самотестирования (self-test).

Релей работает медленнее, чем планировалось. Криптография релея Tor эффективно работает на современных процессорах; по оценкам Tor Project, процессор с поддержкой AES-NI обеспечивает пропускную способность примерно от 400 до 450 Мбит/с в каждом направлении. Задолго до достижения этого предела вы столкнетесь с ограничениями скорости порта и лимитами трафика, поэтому раздел учета (accounting) выше важнее, чем аппаратное обеспечение.

FAQ

Сколько трафика потребляет Tor-релей?

Ровно столько, сколько вы разрешите, и не больше. RelayBandwidthRate ограничивает ретранслируемый трафик в каждом направлении отдельно, поэтому релей, настроенный на 1 Мбит/с, может передавать 1 Мбит/с на вход и 1 Мбит/с на выход одновременно. Это составляет примерно 21.6 ГБ в день или 648 ГБ за 30-дневный месяц с учетом обоих направлений. Добавьте AccountingMax с AccountingRule sum в качестве жесткой месячной квоты поверх этого ограничения скорости.

Будут ли приходить жалобы на злоупотребления при запуске Tor-релея?

Guard- или middle-релей передает трафик только другим Tor-релеям и никогда не подключается к веб-сайтам от имени пользователя, поэтому жалобы на действия, совершенные через Tor, направляются оператору exit-релея, а не вам. Вы можете столкнуться со сканированием портов и попаданием IP-адреса в списки репутации, так как адрес публично указан как релей. Именно exit-релеи получают письма с жалобами и юридические уведомления, поэтому для них требуется провайдер, заранее согласный на работу с такими запросами. Перед запуском любого типа релея ознакомьтесь с условиями вашего провайдера.

Почему мой новый Tor-релей не получает трафик?

Потому что новые релеи намеренно ограничиваются в трафике до момента их измерения. В течение первых трех дней directory authorities ограничивают опубликованный вес на уровне 20 КБ, поэтому клиенты почти никогда не выбирают такой релей. Bandwidth authorities начинают измерения примерно с третьего дня, около восьмого дня релей получает флаг Guard, после чего объем трафика может временно снизиться, так как клиенты избегают использовать Guard-узлы в качестве промежуточных звеньев. Полная нагрузка достигается примерно через 68 дней. Убедитесь, что в логах есть запись "Self-testing indicates your ORPort is reachable from the outside", после чего оставьте релей в покое.

Можно ли запустить Tor-релей на VPS с лимитом трафика 1 ТБ?

Да, при скорости около 1 Мбит/с в каждом направлении, что составляет RelayBandwidthRate 125 KBytes. Это примерно 648 ГБ в месяц, если провайдер учитывает трафик в обоих направлениях, оставляя запас для обновлений и резервных копий. Добавьте AccountingMax 400 GBytes с AccountingRule sum и AccountingStart month 1 00:00, чтобы релей переходил в режим гибернации вместо превышения лимита тарифного плана. Если провайдер тарифицирует только исходящий трафик, вы можете удвоить скорость.

Нужно ли настраивать MyFamily, если у меня только один релей?

Нет. Объявление семейства (family) необходимо для того, чтобы клиенты не строили цепочку через два релея, принадлежащих одному оператору, что бессмысленно при наличии одного узла. Настройте это сразу после добавления второго релея: укажите отпечаток (fingerprint) каждого релея в строке MyFamily на каждом из них или используйте ключ семейства, представленный в Tor 0.4.9, который позволяет распространять один FamilyId вместо постоянно растущего списка.