Ошибка Failed to establish a Tor circuit или пустой ответ при обращении к onion-адресу чаще всего означает, что Tor установлен на сервере с LAMP-стеком, но скрытый сервис не привязан к порту веб-сервера либо Apache слушает не тот интерфейс. Проверка начинается с двух вещей: директивы HiddenServicePort в конфигурации Tor и параметра Listen в конфигурации Apache.
Под «настройкой торсервера на лампе» обычно понимают развёртывание скрытого сервиса Tor (onion-сервиса) поверх классической связки Linux + Apache + MySQL + PHP. Сайт остаётся доступным из сети Tor по адресу вида xxxxxxxx.onion, при этом сам LAMP-стек настраивается почти так же, как для обычного хостинга. Ниже — безопасный порядок действий без привязки к конкретному хостеру.
Что понадобится перед началом
Для работы потребуется сервер или VPS с Linux (чаще всего Debian или Ubuntu), права root или пользователь с sudo, а также уже установленный LAMP-стек. Если Apache, MySQL и PHP ещё не развёрнуты, сначала установите их штатным пакетным менеджером вашей системы — команды отличаются в зависимости от дистрибутива, поэтому сверяйтесь с его официальной документацией.
Отдельно убедитесь, что у вас есть доступ к файрволу сервера. Важный нюанс: скрытый сервис Tor не требует открытия внешних портов — соединения инициируются самим Tor-клиентом наружу. Это упрощает настройку и снижает поверхность атаки.
- 🖥️ Сервер с Linux и правами администратора
- 🌐 Работающий стек Linux + Apache + MySQL + PHP
- 🔑 Доступ по SSH для редактирования конфигурации
- 🛡️ Файрвол (например, ufw) для контроля портов
Установка Tor на сервер
На системах семейства Debian/Ubuntu Tor ставится из штатных репозиториев. Сначала обновите списки пакетов, затем установите сам пакет:
sudo apt update
sudo apt install tor
После установки служба обычно запускается автоматически. Проверить состояние можно командой sudo systemctl status tor. Если служба не активна, запустите её через sudo systemctl start tor и добавьте в автозагрузку: sudo systemctl enable tor.
В некоторых дистрибутивах версия Tor в репозиториях может отставать от актуальной. Разработчики проекта Tor поддерживают собственный репозиторий для ряда систем — если вам критична свежая версия, обратитесь к официальной документации проекта Tor для вашего дистрибутива.
Создание скрытого сервиса
Основной конфигурационный файл Tor — /etc/tor/torrc. Откройте его в текстовом редакторе с правами root и добавьте две ключевые директивы: HiddenServiceDir (каталог, где будут храниться ключи сервиса) и HiddenServicePort (привязка порта onion-сервиса к локальному порту веб-сервера). Типовой фрагмент выглядит так:
HiddenServiceDir /var/lib/tor/hidden_service/
HiddenServicePort 80 127.0.0.1:80
Вторая строка означает: запросы, приходящие на порт 80 onion-адреса, перенаправлять на 127.0.0.1:80 — то есть на локальный Apache. После сохранения файла перезапустите Tor: sudo systemctl restart tor. Если синтаксис корректен, Tor создаст каталог сервиса и сгенерирует ключи.
Ваш onion-адрес появится в файле hostname внутри каталога сервиса. Посмотреть его можно командой sudo cat /var/lib/tor/hidden_service/hostname. Ключи в каталоге HiddenServiceDir — единственное доказательство владения адресом: потеряете их — потеряете адрес навсегда.
☑️ Проверка после создания скрытого сервиса
Привязка Apache к локальному интерфейсу
Если сайт должен быть доступен только через Tor, важно, чтобы Apache не принимал соединения из внешней сети. Для этого в конфигурации веб-сервера параметр Listen должен указывать на локальный интерфейс, например Listen 127.0.0.1:80. Точное расположение этой директивы зависит от дистрибутива: в Debian-подобных системах смотрите /etc/apache2/ports.conf.
Виртуальный хост сайта настраивается как обычно: укажите DocumentRoot, подключите PHP-обработчик и при необходимости ограничьте отдачу служебных данных. После правок проверьте конфигурацию командой sudo apachectl configtest и перезапустите Apache.
⚠️ Внимание: если Apache останется слушать внешний IP-адрес, сайт будет доступен и из обычной сети, что деанонимизирует сервер. Проверьте директиву Listen до публикации onion-адреса.
Тонкости PHP и MySQL в onion-окружении
Со стороны приложения скрытый сервис почти ничем не отличается от обычного сайта, но есть нюансы. Во-первых, в логах Apache все посетители будут видны как 127.0.0.1 — это нормально, потому что соединение завершает локальный Tor. Во-вторых, избегайте внешних ресурсов в шаблонах сайта (шрифты, счётчики, CDN): они могут раскрывать посетителей и замедлять загрузку через Tor.
MySQL и PHP настраиваются стандартно. Держите базу данных на локальном сокете или 127.0.0.1, не разрешайте удалённые подключения к MySQL без необходимости. Это общее правило безопасности, которое в onion-сценарии становится особенно важным.
| Компонент | Файл настройки | Что проверить |
|---|---|---|
| Tor | /etc/tor/torrc | Директивы HiddenServiceDir и HiddenServicePort |
| Apache | ports.conf, виртуальные хосты | Прослушивание только 127.0.0.1 |
| PHP | php.ini | Отключён вывод ошибок на страницу |
| MySQL | my.cnf | Доступ только с localhost |
| Файрвол | правила ufw/iptables | Закрыты внешние порты 80/443 |
Безопасность и типичные ошибки
Скрытый сервис снижает риск прямых сетевых атак, но не отменяет базовую гигиену: своевременные обновления системы, минимальный набор установленных пакетов, отдельный непривилегированный пользователь для веб-приложения. Отключите листинг каталогов в Apache и не публикуйте служебные файлы (например, .git или конфиги с паролями) в корне сайта.
Типичные ошибки при настройке:
- 🔁 Указан внешний IP в
HiddenServicePortвместо127.0.0.1— сервис не отвечает - 📁 Удалён или пересоздан каталог HiddenServiceDir — onion-адрес меняется
- 🔥 Файрвол или конфигурация Apache блокируют локальный порт, на который ссылается Tor
- 📄 Включён вывод PHP-ошибок — в ответах утекают пути и данные сервера
⚠️ Внимание: не публикуйте содержимое каталога HiddenServiceDir и не передавайте его третьим лицам. Файлы ключей внутри него позволяют перехватить ваш onion-адрес.
Как работает onion-сервис в двух словах
Tor создаёт цепочку из нескольких узлов до точки рандеву, через которую посетитель соединяется с вашим сервером. Ни посетитель не знает IP сервера, ни сервер не знает IP посетителя. Поэтому открывать входящие порты в файрволе не нужно — Tor сам устанавливает исходящие соединения.
Проверка работоспособности
Для проверки откройте onion-адрес в браузере Tor Browser с любого устройства. Первая загрузка может занять заметно больше времени, чем у обычного сайта, — это особенность сети, а не неисправность. Если страница не открывается, смотрите журналы: sudo journalctl -u tor для Tor и логи ошибок Apache.
Если в журнале Tor видны строки о невозможности создать каталог сервиса — проверьте права на /var/lib/tor/. Если Tor работает, а Apache не отвечает — убедитесь, что веб-сервер слушает именно тот порт, который указан в HiddenServicePort.
Частые вопросы
Нужен ли статический IP-адрес для onion-сервиса?
Нет. Onion-адрес привязан к ключам в каталоге HiddenServiceDir, а не к IP-адресу сервера. Сервис будет работать даже при смене провайдера или переезде на другой хостинг — достаточно перенести каталог с ключами.
Можно ли держать сайт одновременно в обычной сети и в Tor?
Да. Для этого Apache должен слушать и внешний интерфейс, и 127.0.0.1, а в Tor остаётся привязка к локальному порту. Учтите, что в этом случае сервер не анонимен — onion-адрес становится просто дополнительным каналом доступа.
Почему onion-сайт открывается очень медленно?
Трафик проходит через несколько узлов сети Tor, поэтому задержки выше, чем в обычном интернете. Уменьшить время загрузки помогает оптимизация самого сайта: сжатие, минимум внешних ресурсов, лёгкие страницы.
Что делать, если onion-адрес перестал работать после переустановки Tor?
Скорее всего, был удалён каталог HiddenServiceDir вместе с ключами — старый адрес восстановить нельзя. Перед любыми переустановками делайте резервную копию этого каталога в защищённое место.
Нужно ли открывать порты в файрволе для скрытого сервиса?
Нет, входящие порты открывать не требуется — Tor устанавливает исходящие соединения сам. Более того, закрытые внешние порты 80 и 443 дополнительно защищают сервер от прямых подключений.