Confidentialité · sans KYC
Hébergez Relais Tor sur un VPS offshore
Faites tourner un relais Tor non-exit sur une bande passante offshore illimitée, et renforcez le réseau dont des millions d'utilisateurs dépendent pour un accès privé et non censuré.
Ce que c'est
Un relais Tor est un nœud géré par des bénévoles qui achemine le trafic chiffré à travers le réseau Tor, ajoutant capacité et diversité pour que le système de confidentialité reste rapide et résilient. Un relais intermédiaire/guard (non-exit) ne se connecte jamais à des sites de destination en votre nom : votre IP n'apparaît donc jamais comme la source visible du trafic de qui que ce soit.
Pourquoi l'héberger en offshore
Les relais Tor vivent ou meurent selon la bande passante, et les hébergeurs facturés au volume vous bloquent ou vous ruinent dès qu'un relais devient actif. ChainVPS vous offre un transfert véritablement illimité, un filtrage DDoS et une inscription crypto/sans KYC, afin que vous puissiez faire tourner un relais à fort poids de consensus dans une juridiction favorable à la confidentialité, sans mauvaise surprise de facturation ni trace d'identité.
Le déploiement
Une configuration de référence fonctionnelle
Copiez ceci sur une nouvelle instance ChainVPS. Remplacez les paramètres, puis lancez-la.
#!/usr/bin/env bash
# Non-exit Tor relay on Ubuntu 24.04 (Noble). Run as root or with sudo.
set -euo pipefail
# 1) Install Tor from the official Tor Project apt repo (newer than Ubuntu's)
apt-get update
apt-get install -y apt-transport-https gpg curl lsb-release
curl -fsSL https://deb.torproject.org/torproject.org/A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89.asc \
| gpg --dearmor -o /usr/share/keyrings/tor-archive-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/tor-archive-keyring.gpg] https://deb.torproject.org/torproject.org $(lsb_release -cs) main" \
> /etc/apt/sources.list.d/tor.list
apt-get update
apt-get install -y tor deb.torproject.org-keyring nyx
# 2) Configure a NON-EXIT relay (safe default: never terminates traffic)
cat > /etc/tor/torrc <<'EOF'
Nickname chainvpsrelay
# ORPort 443 improves reachability for clients behind restrictive firewalls.
ORPort 443
ORPort [::]:443
# Non-exit relay: do NOT exit traffic to the clearnet.
ExitRelay 0
IPv6Exit 0
ExitPolicy reject *:*
# ContactInfo lets the Tor project reach you about issues. Use a role address.
ContactInfo tor-relay-ops <[email protected]>
# Optional throughput cap (bytes). Comment out to donate full unmetered link.
# RelayBandwidthRate 20 MBytes
# RelayBandwidthBurst 40 MBytes
Log notice syslog
User debian-tor
EOF
# 3) Open the firewall for the ORPort (adjust if you changed it above)
if command -v ufw >/dev/null 2>&1; then
ufw allow 443/tcp comment 'Tor ORPort'
fi
# 4) Enable and start
systemctl enable --now tor@default
sleep 5
systemctl status tor@default --no-pager || true
echo "Relay starting. Watch bootstrap + fingerprint: journalctl -u tor@default -f"
echo "Live console: nyx"
echo "Your relay fingerprint: cat /var/lib/tor/fingerprint"Pare-feu
Ports à ouvrir
| Port | Protocole | Objectif |
|---|---|---|
| 443 | TCP | ORPort — trafic de relais entrant (utilisez 9001 si le port 443 est déjà pris par un serveur web). Doit être accessible depuis Internet. |
| 9001 | TCP | Alternative ORPort par défaut classique, si vous préférez ne pas utiliser le port 443. |
| 9051 | TCP | Port de contrôle Tor (localhost uniquement) — utilisé par le monitoring nyx ; ne jamais l'exposer publiquement. |
Dimensionnement optimal
De quel forfait vous avez besoin
VPS Nano/Small (1 vCPU, 1-2 GB RAM)
Convient parfaitement pour un relais intermédiaire de démarrage poussant jusqu'à ~20-50 Mbit/s. Tor est mono-thread par relais, un cœur modeste suffit donc à faible charge.
VPS Pro (2-4 vCPU, 4-8 GB RAM)
Gère un relais guard bien connecté saturant plusieurs centaines de Mbit/s ; les cœurs supplémentaires permettent de faire tourner 2 instances tor (2 maximum par IPv4) pour exploiter davantage de bande passante.
Dédié (multicœur + 1 Gbit illimité)
Pour un nœud rapide à fort poids de consensus de classe guard/exit, ou plusieurs instances de relais poussant plus de 1 Gbit. Le chiffrement TLS étant limité par le CPU, privilégiez une fréquence d'horloge élevée plutôt qu'un grand nombre de cœurs.
Meilleurs emplacements : Les localisations dédiées à la confidentialité conviennent le mieux aux relais : les Pays-Bas, la Roumanie, l'Islande et la Suisse sont des juridictions favorables aux relais, avec une forte capacité réseau et un historique de tolérance du trafic Tor. L'Islande et la Suisse ajoutent une législation solide en matière de protection des données, tandis que les Pays-Bas et la Roumanie offrent les liaisons illimitées les plus généreuses et les moins chères pour maximiser le poids de consensus. Répartissez vos relais entre différentes localisations/AS pour améliorer la diversité du réseau — le réseau Tor évite délibérément de faire passer un circuit par deux relais appartenant au même /16 ou à la même famille.
Verrouillez-le
Liste de vérification du durcissement
- Démarrez en tant que relais NON-EXIT (ExitRelay 0, ExitPolicy reject *:*). Les relais exit génèrent des plaintes pour abus et une exposition juridique — n'en faites tourner un que délibérément, avec l'accord de l'hébergeur et une IP dédiée.
- Renseignez un ContactInfo honnête et, si vous faites tourner plusieurs relais, déclarez-les avec l'option MyFamily (listez l'empreinte de chaque relais) afin que Tor ne chaîne jamais deux de vos nœuds dans un même circuit.
- Liez le port de contrôle à localhost uniquement (ControlPort 9051 + CookieAuthentication 1) et n'ouvrez jamais les ports 9051/9030 sur Internet ; seul l'ORPort doit être accessible publiquement.
- Maintenez tor à jour depuis le dépôt apt officiel du Tor Project (et non le paquet plus ancien d'Ubuntu) et activez unattended-upgrades — les correctifs de sécurité des relais comptent pour l'ensemble du réseau.
- Faites tourner tor sous son propre utilisateur non privilégié (debian-tor, la valeur par défaut du paquet), activez un pare-feu n'autorisant que l'ORPort, et surveillez l'état de santé avec nyx ainsi que la page Tor Metrics/Relay Search en utilisant votre empreinte.
- Si vous plafonnez le débit, utilisez RelayBandwidthRate/Burst plutôt que le quota comptable (accounting), afin que le relais reste actif 24h/24 et 7j/7 — c'est la disponibilité qui permet d'obtenir l'indicateur Guard et un vrai poids de consensus.
Questions
Hébergement Relais Tor — FAQ
Faire tourner un relais Tor est-il légal, et cela peut-il m'attirer des ennuis ?
Faire tourner un relais non-exit (intermédiaire/guard) est légal dans la plupart des juridictions et représente un risque très faible : votre serveur se contente d'acheminer du trafic chiffré entre d'autres nœuds Tor et ne se connecte jamais à des sites de destination, si bien que votre IP n'apparaît jamais comme la source de la navigation de qui que ce soit. Les plaintes pour abus visent presque toujours les relais exit, que cette configuration désactive explicitement.
Quelle est la différence entre un relais, un bridge et un exit ?
Un relais intermédiaire/guard achemine le trafic à l'intérieur du réseau. Un bridge est un point d'entrée non répertorié qui aide les utilisateurs des régions censurées à se connecter (utilisez pour cela l'image thetorproject/obfs4-bridge). Un relais exit constitue le dernier saut vers le clearnet — le rôle le plus risqué, celui qui attire les signalements d'abus. Ce guide déploie par défaut un relais non-exit sûr.
Quelle quantité de bande passante va-t-il réellement utiliser ?
Un relais guard actif peut pousser en continu plusieurs centaines de Mbit/s une fois qu'il a gagné la confiance du réseau, ce qui explique précisément pourquoi le transfert illimité compte tant — un hébergeur facturé au volume vous facturerait ou vous briderait. Vous pouvez le plafonner avec RelayBandwidthRate, mais le laisser sans plafond sur la liaison illimitée de ChainVPS maximise votre contribution.
Au bout de combien de temps mon relais sera-t-il réellement utilisé ?
Les nouveaux relais montent en puissance lentement. Tor mesure votre stabilité et votre vitesse sur plusieurs jours ; attendez-vous à un trafic significatif après environ une semaine, et à l'indicateur Guard après environ 8 jours de disponibilité continue. Laissez-le tourner 24h/24 et 7j/7 — les redémarrages et interruptions réinitialisent votre réputation.
Puis-je faire tourner plusieurs relais sur le même serveur ?
Oui — jusqu'à deux instances de relais par adresse IPv4 publique. Attribuez à chacune son propre ORPort et son propre DataDirectory, et listez toutes leurs empreintes sous MyFamily afin que le réseau ne fasse jamais passer un même circuit par deux de vos nœuds. Un serveur dédié avec une liaison illimitée de 1 Gbit est idéal pour cela.
Plus à auto-héberger
Autres stacks en un clic
Déployer Relais Tor
dans les 60 prochaines secondes.
Bande passante illimitée · DDoS inclus · 21 cryptomonnaies · sans KYC.