Развёртывание многопоточного Tor‑релея (Orbot) и скрытого сервиса в Termux с поддержкой Onion‑Service v3

В этом материале рассматривается настройка Tor в среде Termux для легитимных технических задач: лабораторных стендов, отладки сетевых сервисов, обучения и демонстрации принципов работы onion‑адресов. Мы не рассматриваем использование Tor для обхода блокировок и не даём инструкции, направленные на сокрытие незаконной деятельности.

Все шаги ниже предполагают, что вы действуете в рамках законодательства РФ и соблюдаете правила сервиса Tor, в частности требования к безопасной конфигурации, ограничению рисков утечек и корректному управлению ключами.

Что именно будем развёртывать

План включает два компонента:

Tor‑релей через Orbot (многопоточный узел/релай на стороне Tor-клиента/прокси‑модуля).
Скрытый сервис (Onion Service) с поддержкой Onion‑Service v3, работающий так, чтобы сервис был доступен по .onion адресу без прямого проброса портов в интернет (в рамках возможностей вашей сетевой конфигурации).

Важное замечание: Orbot в первую очередь является Android‑приложением и управляет Tor внутри Android‑контекста. Termux встраивается как рабочая оболочка для сопутствующих операций (подготовка каталогов, генерация конфигураций, запуск локального сервиса, диагностика). Если вы используете чистый Termux на не‑Android (например, Linux‑подобная среда), состав компонентов может отличаться.

Требования к среде

Устройство под управлением Android (рекомендуется) и установленный Termux.
Установленный Orbot (из официального источника для Android) и доступ к настройкам Tor.
Стабильное подключение к сети (Wi‑Fi/мобильная сеть).
Для скрытого сервиса v3 потребуется доступ к локальному сервису внутри устройства (обычно по localhost).
Понимание, что оператор relaying несёт ответственность за безопасность узла и ресурсную нагрузку.

Подготовка Termux: обновление пакетов и базовые утилиты

Начните с актуализации пакетов и установки необходимых инструментов. Пример ниже подходит для большинства сценариев Termux.

pkg update -y
pkg upgrade -y
pkg install -y tor privoxy proot-distro openssl curl nano

Если вам не нужны все пакеты (например, tor для локальной проверки), можно уменьшить список. Важно: для реальной работы скрытого сервиса обычно применяют сам Tor‑процесс, либо используете Tor, управляемый Orbot; в таком случае Termux служит для подготовки и запуска вашего внутреннего сервиса.

Изоляция окружения и хранение ключей

Ключи onion‑сервисов критичны. Никогда не держите их в общедоступных каталогах и не публикуйте в публичных репозиториях. Рекомендуется выделить отдельный каталог для конфигурации и ключей.

mkdir -p $HOME/tor-hidden-service
chmod 700 $HOME/tor-hidden-service

Если вы планируете эксперименты, используйте отдельные каталоги для разных профилей (relaying vs. сервис, разные адреса и отдельные версии конфигураций).

Подключение Orbot и запуск Tor

Orbot обычно включает Tor и управление им предоставляет графический интерфейс. На уровне практики:

Включите Orbot.
Перейдите в настройки, чтобы включить режим релея (если доступно) и указать нужные параметры.
Убедитесь, что Tor активен и прокси доступен для приложений в рамках устройства.

На Android Orbot сам отвечает за многопоточную работу Tor‑процессов. Termux не заменяет Orbot для Tor‑ядра в обычной схеме, поэтому дальше мы концентрируемся на подготовке скрытого сервиса v3 и локального целевого приложения.

Логика скрытого сервиса v3 в терминах практики

Onion‑Service v3 использует долгоживущие идентификаторы и ключи. Конфигурация обычно содержит:

Каталог с ключами (ключевой материал persistently хранится).
Публикацию внутреннего порта (например, HTTP на localhost:XXXX) через виртуальный endpoint .onion.
Параметры маппинга портов (service port vs. target port).

В реальных системах это настраивается в файле конфигурации Tor (часто torrc). Если Tor управляется Orbot, вам нужно действовать в рамках поддерживаемых им механизмов управления hidden services. В ряде конфигураций Tor скрытые сервисы удобно запускать самим Tor‑процессом в Termux (как лабораторный сценарий). Ниже приведён универсальный подход: вы запускаете локальный Tor с конфигурацией для hidden service в Termux, а Orbot используете для релейной части (или наоборот — в зависимости от вашей платформы и возможностей Orbot).

Пример конфигурации onion‑service v3 (torrc)

Создадим каталог для конфигурации и сгенерируем базовый torrc. Назначение: поднять onion‑сервис v3, который будет проксировать запросы на локальный сервис вашего приложения.

mkdir -p $HOME/tor-hidden-service
cat > $HOME/tor-hidden-service/torrc <<'EOF'
HiddenServiceDir $HOME/tor-hidden-service/hs
HiddenServiceVersion 3

# Публикуем onion на виртуальном порте 80
HiddenServicePort 80 127.0.0.1:8080

# Режим логирования (можно ужесточить/изменить под задачу)
Log notice file $HOME/tor-hidden-service/tor.log
EOF
chmod 600 $HOME/tor-hidden-service/torrc

Пояснения:

HiddenServiceDir — каталог, где Tor хранит ключи v3.
HiddenServiceVersion 3 — явная поддержка Onion‑Service v3.
HiddenServicePort 80 127.0.0.1:8080 — сервисный порт 80 на стороне onion отображается на ваш локальный порт 8080.

Подготовка локального сервиса (пример HTTP)

Скрытый сервис v3 должен проксировать на локальный TCP‑порт. Рассмотрим простой демонстрационный HTTP‑сервер в Termux. В реальном проекте это может быть ваш собственный сервис (например, веб‑приложение) на localhost.

Вариант A: быстрый тест через python. Если python не установлен:

pkg install -y python

Затем запускаем тестовый сервер на 127.0.0.1:8080:

python -m http.server 8080 --bind 127.0.0.1

Оставьте этот процесс в фоне/отдельной сессии. Далее Tor будет проксировать запросы на этот порт.

Запуск Tor с конфигурацией hidden service

Теперь запускаем Tor с нашим torrc, чтобы он сгенерировал ключи v3 и начал обслуживание onion‑endpoint.

tor -f $HOME/tor-hidden-service/torrc

Дождитесь создания каталога hs и появления файла с адресом.

Получение .onion адреса v3

После успешной инициализации Tor создаст файл hostname в HiddenServiceDir. Проверьте:

cat $HOME/tor-hidden-service/hs/hostname

Адрес будет в формате xxxx.onion. Храните его и ключи аккуратно.

Диагностика: проверка логов и доступности

Смотрите журнал:

tail -n 200 $HOME/tor-hidden-service/tor.log

Типичные проблемы:

Локальный сервис недоступен на 127.0.0.1:8080 (проверьте порт и процесс).
Неправильные права на каталоги ключей.
Нестабильная сеть, из-за чего Tor не успевает корректно установить цепочки.

Интеграция с многопоточным Tor‑релеем через Orbot

Теперь о relaying. Модель “Orbot + hidden service” зависит от того, хотите ли вы, чтобы:

Tor‑процесс для hidden service работал отдельно (как в примере выше) и параллельно Orbot выполнял relaying.
Или Orbot управлял всем одним процессом.

На практике удобнее и нагляднее разделять роли: Orbot — для релея, Termux‑Tor — для hidden service лабораторного приложения. Это позволяет:

Упрощать диагностику (логи отдельно).
Снижать риск путаницы портов/процессов.
Контролировать, какой Tor‑процесс отвечает за какие задачи.

Чтобы “Orbot‑часть” действительно работала как relaying узел, включите режим relaying в Orbot (в интерфейсе). После этого проверьте статус в логике самого Orbot (и при наличии — в его экранных статусах).

Важно: не используйте случайные “эксплойт‑обходы” и не настраивайте параметры, которые могут нарушать правила сети Tor. Делайте упор на безопасные и рекомендованные конфигурации.

Безопасность: защита от утечек и минимизация рисков

При работе с hidden services и relaying следует соблюдать базовые принципы:

Изоляция: отдельные каталоги для ключей, минимальные права (chmod 700/600).
Локальная привязка: локальный сервис открывайте только на 127.0.0.1.
Ограничение зависимостей: не давайте внешним сетям доступ к вашим внутренним портам напрямую.
Мониторинг: контролируйте нагрузку и логи (tor.log) и процесс локального сервера.
Обновления: следите за версиями пакетов в Termux и обновлениями Orbot (на Android).

Если вы хотите “локальную сеть” вместо публичной доступности

Для отладки иногда достаточно поднять окружение в рамках локальной сети (например, между устройствами в одной Wi‑Fi сети). Это не про обход блокировок, а про удобство тестирования. Для этого:

Настраивайте доступ только в пределах вашей локальной подсети.
Используйте сервисы на localhost или внутренние адреса, при этом Tor‑часть остаётся для onion‑маршрутизации.

Схема “локальная сеть + hidden service” помогает проверить, что проксирование работает, не подвергая риску внешнюю поверхность.

Типовой рабочий процесс

Запустите локальный сервис на 127.0.0.1:8080.
Запустите Tor с torrc, содержащим HiddenServiceVersion 3.
Дождитесь создания hs/hostname и получите onion‑адрес.
Параллельно включите Orbot relaying (в интерфейсе Orbot), если это требуется вашей лабораторной задаче.
Сверяйте логи: $HOME/tor-hidden-service/tor.log и статусы Orbot.

Заключение

Развёртывание многопоточного Tor‑релея через Orbot и скрытого onion‑сервиса v3 в экосистеме Termux возможно, если вы разделяете роли компонентов, тщательно управляете ключами и держите внутренние службы привязанными к 127.0.0.1. Приведённый подход ориентирован на безопасную лабораторную отладку и корректную настройку Hidden Service v3 с устойчивым хранением параметров.

Если вам нужна помощь с подбором архитектуры, настройкой окружения Termux/Orbot под вашу задачу, аудитом безопасности конфигураций и организацией мониторинга — команда РыбинскЛАБ готова предоставить консультационные и внедренческие услуги.