Cómo ejecutar un relé Tor en un VPS

Todo relé Tor reenvía tráfico cifrado, pero el rol que eliges determina tu exposición. Hay tres que debes conocer:

• Relé intermedio — pasa tráfico solo entre otros nodos Tor. Nunca se conecta a internet abierto en nombre de un usuario, así que casi nunca genera reclamaciones. Esta es la opción segura por defecto y la correcta para un primer relé. Un relé intermedio bien establecido también puede ser elegido por la red para actuar como guardia, el primer salto de un circuito, pero ese es un rol que las autoridades de directorio asignan con el tiempo, no algo separado que configures.
• Puente — un punto de entrada no publicado que ayuda a personas en redes censuradas a llegar a Tor. Los puentes no aparecen en el consenso público, apenas generan abuso y son genuinamente útiles donde Tor está bloqueado.
• Relé de salida — el último salto que envía tráfico a sitios web ordinarios bajo la IP de tu servidor. Como el destino ve tu dirección, las salidas atraen avisos de abuso, listas negras y ocasionalmente consultas de fuerzas del orden.

Si quieres el máximo beneficio con el mínimo inconveniente, ejecuta un relé intermedio o un puente. Considera una salida solo cuando entiendas el peso operativo y legal que conlleva.

No lo vamos a suavizar. Un relé de salida enruta el tráfico de otras personas hacia internet bajo tu IP, lo que significa que los sistemas automáticos de abuso, los agentes de copyright y ocasionalmente los investigadores verán tu dirección como la fuente aparente. Espera recibir informes de abuso. Muchos proveedores prohíben las salidas directamente por esta razón, y las IPs de salida frecuentemente acaban en listas negras que afectan al correo y los registros.

Nada de esto hace que ejecutar una salida sea incorrecto — las salidas son vitales para Tor y operadores y organizaciones experimentadas las gestionan legalmente cada día. Pero es trabajo real: necesitas un contacto de abuso publicado, una política de salida reducida y disposición para responder a los avisos. Si eso suena a más de lo que buscabas, un relé intermedio aporta a la red la mayor parte del valor con casi ninguna de las fricciones.

Los relés intermedios y puentes son bienvenidos en todos los niveles; solo pasan tráfico dentro de la red y son un uso limpio del ancho de banda que nos alegra apoyar. Los relés de salida están permitidos en determinadas ubicaciones, pero con condiciones: debes publicar un ContactInfo funcional, ejecutar una política de salida reducida y responder a la correspondencia de abuso que te llegue a través del panel de control.

El límite absoluto es inamovible y se aplica al tráfico Tor como a todo lo demás: sin CSAM, sin tráfico de armas, sin contenido terrorista, sin excepciones. Tratamos los avisos rutinarios de copyright como un asunto operativo en lugar de retiradas automáticas, y actuamos sobre órdenes judiciales válidas en la jurisdicción del servidor. Somos privados, no una promesa de inmunidad; revisa nuestra política de uso aceptable y cómo gestionamos los informes de abuso antes de ejecutar una salida. Si no estás seguro de si tu plan es compatible, pregunta primero a través del panel.

Un relé exige poco en disco y RAM pero se beneficia de CPU y ancho de banda. Tor es en gran medida monohilo para las operaciones criptográficas, así que un par de vCPU dedicadas te permiten alcanzar un rendimiento real. Como todos los niveles incluyen tráfico ilimitado, nunca pagas excedentes por el ancho de banda que donas, que es exactamente lo que necesita un relé.

Para un relé intermedio personal, el nivel Cub (1 vCPU / 2 GB) o Scout (2 vCPU / 4 GB) es suficiente. Si quieres un relé que aporte capacidad significativa a la red, Scout o superior es el punto óptimo, y la base de VPS offshore todo-NVMe garantiza que los pequeños archivos de descriptor y consenso respondan con agilidad. Elige una ubicación con buena interconexión; nuestro nodo de Ámsterdam está en AMS-IX y es un excelente hogar para un relé.

Algunos valores de configuración son importantes para todo relé independientemente del rol. El Nickname es una etiqueta pública de hasta 19 caracteres alfanuméricos. ContactInfo debe ser una forma en que la red y el Proyecto Tor puedan contactarte sobre tu relé — publica un alias de abuso no personal o una URL de página de abuso en lugar de algo que te identifique; nunca expongas una dirección personal que te importe.

El ORPort es el puerto TCP al que se conectan otros relés (443 y 9001 son opciones comunes). El ancho de banda se controla con RelayBandwidthRate y RelayBandwidthBurst: la tasa es tu techo sostenido y el burst absorbe picos breves. Establecer un límite explícito mantiene el relé predecible aunque el tráfico sea ilimitado. Los pasos numerados a continuación integran todo esto en un archivo funcional.

Trata el relé como una máquina de propósito único. No mezcles tu navegación personal, tu sitio web ni ningún servicio que te identifique en el mismo VPS — la IP de un relé es pública y, para una salida, es la fuente aparente del tráfico de desconocidos. Mantenerlo dedicado te protege a ti y a la reputación del relé.

• No ejecutes nada más de relevancia en la máquina; mantén el sistema operativo mínimo y actualizado.
• Establece un ContactInfo real y, para las salidas, aloja una breve página de aviso de salida Tor para que quien investigue tu IP entienda qué es.
• Monitoriza el estado con nyx y observa el diario de systemd en busca de advertencias.
• Para una salida, canaliza la correspondencia de abuso a través de un alias que realmente controles y responde con prontitud. Las respuestas rápidas y amables evitan la mayoría de las escaladas.

Si combinas esto con uso personal de Tor, nuestra guía de VPS para Tor cubre la ejecución de un puente privado o servicio onion junto con una buena higiene de red.

Para un relé intermedio o puente, la jurisdicción apenas importa — elige una ubicación con buena interconexión y baja latencia hacia los relés con los que te comunicarás. El nodo principal de los Países Bajos es difícil de superar en conectividad.

Para una salida, la jurisdicción importa mucho, porque la legislación local del servidor determina cómo se gestionan los avisos y órdenes de copyright y qué tan cómodo es el entorno para el tráfico de salida. Las jurisdicciones de libertad de expresión y prensa como Suecia e Islandia son hogares populares para las salidas, y una base en NL, RO o BG orientada a la privacidad mantiene las cosas directas. Sea cual sea tu elección, tu relé sigue sujeto al límite absoluto y a las órdenes judiciales válidas donde está el servidor — ejecutarlo en un VPS sin KYC cambia cómo te registras y pagas, no qué leyes se aplican al tráfico.