كيفية إعداد خدمة Tor مخفية على خادم VPS مجهول الهوية
كيفية إعداد خدمة Tor مخفية على خادم VPS مجهول الهوية
تشغيل خدمة Tor مخفية من اتصال إنترنت منزلي يعمل بشكل جيد حتى يقوم مزود الخدمة بتعديل العقد، أو يتم تدوير عنوان IPv4 المؤجر، أو يظهر شخص يحمل أمراً قضائياً أمام بابك الأمامي. الهدف الكامل من عنوان .onion هو فصل الخدمة عن أي هوية في العالم المادي، وهذا الفصل ينهار في اللحظة التي يصبح فيها مسار الشبكة الأساسي قابلاً للتتبع إلى اسم على فاتورة كهرباء. لهذا السبب فإن المشغلين الذين يهتمون بالاستمرارية طويلة الأمد — عقد Monero البعيدة، خوادم BTCPay، جسور Matrix، نسخ من getmonero.org — يستأجرون دائماً تقريباً خادماً افتراضياً خاصاً مخصصاً من مضيف يقبل الدفع دون التحقق من الهوية.
يشرح هذا الدليل خط الأنابيب الكامل لعام 2026: اختيار مزود VPS يقبل Monero أو نقداً غير مُعلَّم، الدفع بشكل مجهول، تحصين تثبيت جديد من Debian 12، وإطلاق خدمة onion من الإصدار v3 تصمد أمام عمليات إعادة التشغيل، تحديثات النواة، وفحوصات rDNS العرضية. الأمثلة تفترض أنك تنوي عرض عقدة Monero، لكن الوصفة نفسها تنطبق على أي خدمة TCP — Lightning، SSH، IRC، أو موقع ثابت تفضل عدم ربطه باسمك القانوني. عندما يكون الهدف هو الوصول إلى خدمة مثل MoneroSwapper عبر نقطة نهاية معزولة تماماً، فإن طبقة الشبكة هذه هي الجزء الذي يجب أن يكون صحيحاً قبل أي شيء آخر.
لماذا تهم الاستضافة المجهولة للخدمات المخفية
عنوان Tor v3 onion مشتق من مفتاح ed25519 عام. الضمان التشفيري واضح: أي شخص يمكنه الوصول إلى عنوان .onion يتصل عبر ثلاث قفزات من مرحلات Tor، ونقطة الالتقاء لا تعرف عنوان IP الخاص بالخادم أبداً. هذا الجزء سليم. ما لا يمكن لـTor فعله هو إخفاء حقيقة أنك دفعت 4.50 يورو شهرياً إلى Hetzner من بطاقة Visa مرتبطة باسمك. في اللحظة التي يربط فيها طرف معادٍ أنماط وقت التشغيل أو تسرباً في الإعدادات مع سجل الفوترة، تتبخر خاصية إخفاء الهوية بأكملها للخدمة.
نماذج التهديد التي تبرر استخدام VPS بدون KYC ملموسة ومتداخلة:
- ضغط أوامر الاستدعاء: المضيفون السائدون (Vultr، DigitalOcean، Hetzner، OVH) يحتفظون بسجلات KYC وتاريخ كامل للمدفوعات. تحت أمر استدعاء من هيئة محلفين كبرى في الولايات المتحدة، أو أمر إنتاج بموجب المادة 18 في الاتحاد الأوروبي، أو إشعار بموجب قانون صلاحيات التحقيق في المملكة المتحدة، تُسلَّم تلك السجلات بأقل قدر من المقاومة ودون أي إفصاح علني.
- اكتشاف الدعاوى المدنية: دعوى خصوصية، شكوى حقوق نشر، أو نزاع علامة تجارية يمكن أن يجبر المزود على الكشف عن هوية العميل خلف عنوان IP دون أي إجراء جنائي على الإطلاق. الاكتشاف المدني أسرع وأرخص من توجيه الاتهام.
- بصمات جانب الشبكة: حتى عندما تُكوَّن الخدمة المخفية بشكل صحيح، فإن تسربات طبقة التطبيق (لافتات الخادم، مصدر NTP، إصدار النواة في صفحات الخطأ) يمكن أن تربط عنوان
.onionبعنوان IP عام. الدفع المجهول يضمن أن هذا الارتباط لا يعود إلى اسم. - المرونة التشغيلية: المضيفون الذين يعملون بالفعل بدون KYC يفهمون سطح التهديد. وعادة ما يكونون مستعدين لتلقي بلاغ إساءة دون تدمير الـVPS فوراً، لأنهم يتوقعون من عملائهم أن يكون لديهم أسباب خصوصية مشروعة بدلاً من معاملة كل شكوى كحقيقة مطلقة.
منظومة Monero هي المثال القانوني. العقد البعيدة العامة المدرجة في monero.fail أو في قائمة Cake Wallet الافتراضية تعمل بشكل روتيني كخدمات onion من الإصدار v3 لأن المشغلين يريدون تقديم الخدمة دون أن يصبحوا أهدافاً. ينطبق المنطق نفسه على عملاء المبادلات الذرية، سلاسل P2Pool الجانبية، ونشر BTCPay من جانب التاجر. بمجرد أن تشغّل أياً من هذه، تفهم بسرعة لماذا يكون مزيج VPS-وonion هو الإعداد الافتراضي بدلاً من كونه تطرفاً مرتاباً.
اختيار مزود VPS بدون KYC في عام 2026
بعد توسعات قاعدة السفر الخاصة بـFATF في عام 2024 ودخول إطار الإبلاغ عن الأصول المشفرة (CARF) التابع للاتحاد الأوروبي حيز التنفيذ في 1 يناير 2026، تقلصت قائمة المزودين الذين يقبلون الدفع المجهول حقاً لكنها لم تختف. المضيفون الأوروبيون الذين نجوا هم أولئك الذين يضعون أنفسهم صراحة حول الخصوصية بدلاً من تقديمها كفكرة تسويقية لاحقة، والمزودون الخارجيون الذين نجوا هم أولئك الذين لديهم سجل موثق برفض حملات التصيد القانونية.
ثلاثة ثوابت تحدد المزود الصالح للاستخدام في هذا السوق:
- يقبل Monero (مفضل) أو Bitcoin عبر قنوات صديقة للخلط، دون التحقق من البريد الإلكتروني بما يتجاوز عنواناً عاملاً يمكنه تلقي رابط لمرة واحدة.
- لا يتطلب رقم هاتف، أو تحميل وثيقة هوية حكومية، أو صورة سيلفي، أو مصافحة 3-D Secure من بطاقة ائتمان في أي مرحلة من مراحل التسجيل.
- يعمل من ولاية قضائية ذات موقف قابل للدفاع تجاه الخصوصية — أيسلندا، سويسرا، رومانيا، بلغاريا، أو مناطق خارجية محددة — بدلاً من حالة استثنائية للتعديل الخامس في الولايات المتحدة.
الجدول أدناه يلخص المزودين الأكثر شيوعاً الذين يستشهد بهم مشغلو Monero في أواخر عام 2025، مع تسعير المستوى الأولي النموذجي والمقايضات الرئيسية. الأسعار تتقلب مع سعر صرف XMR/EUR؛ تعامل معها كأرقام تقريبية.
| المزود | سعر الدخول / شهرياً | المزايا | العيوب |
|---|---|---|---|
| Njalla (السويد/هولندا) | ~15 يورو | سجل خصوصية قوي، يقبل Monero مباشرة، يدير ASN خاص به مع تسجيل نطاقات وصاية. | سعر أعلى، أسطول أصغر، قائمة انتظار VPS أحياناً. |
| 1984 Hosting (أيسلندا) | ~10 يورو | ولاية قضائية أيسلندية، طاقة جيوحرارية، Monero مقبول عبر بوابة طرف ثالث. | عرض IPv4 محدود، منطقة مركز بيانات واحدة فقط. |
| BitLaunch (متعدد) | ~5 دولار | يبيع DigitalOcean وVultr وLinode عبر واجهة عملات مشفرة، نشر سريع جداً، فوترة بالساعة. | المزود الأساسي لا يزال يمتلك سجلات الشبكة؛ ليس مضاداً للاستدعاءات في الطبقة العليا. |
| Cockbox (الولايات المتحدة) | ~15 دولار | مشغل حرية تعبير، يقبل Monero، سياسة عدم تسجيل علنية. | ولاية قضائية أمريكية، عملية صغيرة بشخص واحد، بدون SLA. |
| BuyVM / Frantech (لوكسمبورغ/كندا) | ~3.50 دولار | أرخص خيار مستدام، يقبل العملات المشفرة، نطاق ترددي غير محدود سخي في معظم الخطط. | علامة تجارية أقل توجهاً نحو الخصوصية؛ نظافة الدفع مسؤوليتك. |
| Privex (متعدد) | ~5 يورو | مضيف صديق لـMonero طويل الأمد، له بصمات في أيسلندا والسويد، يدعم مستويات IPv6 فقط. | المخزون يتقلب، أجهزة أقدم على أرخص مستوى. |
ادفع بـMonero كلما توفر الخيار. مدفوعات Bitcoin، حتى عندما توجَّه عبر CoinJoin أو مبادلة بدون KYC، تترك رسماً بيانياً قابلاً للتتبع من UTXO قد ينهار أمام التحليل المستقبلي للسلسلة. RingCT وBulletproofs+ وبنية عنوان التخفي الخاصة بـMonero تجعل إزالة الإخفاء من جانب الدفع مستحيلة فعلياً بالتقنيات المنشورة حالياً. إذا كان المزود يقبل Bitcoin فقط، استخدم MoneroSwapper أو مبادلة معادلة بدون حساب لتحويل XMR إلى BTC في آخر لحظة ممكنة، أرسل مباشرة إلى عنوان الدفع من محفظة جديدة، ولا تعيد استخدام محفظة المصدر لأي شيء آخر أبداً.
نظافة البريد الإلكتروني والتسجيل
استخدم بريداً إلكترونياً جديداً لكل مزود — صناديق بريد متاحة للتخلص مثل cock.li أو danwin1210.de أو نطاق صيد ذاتي الاستضافة على نطاق منفصل. لا تعيد استخدام اسم مستخدم أو كلمة مرور أو بصمة مفتاح SSH موجودة في أي سياق آخر أبداً. عنوان IP الخاص بالتسجيل يجب أن يكون بالفعل على Tor أو VPN غير مدفوع بنفس الهوية المستخدمة لأي شيء آخر تشغله. تعامل مع كل حقل في النموذج كإفصاح دائم: أي شيء تكتبه في التسجيل هو سطح التعريف الأسوأ حالة طوال عمر الـVPS، وهذا العمر يمكن أن يمتد لسنوات.
خطوة بخطوة: نشر خدمة Tor onion من الإصدار v3
الإجراء أدناه يفترض VPS جديداً يعمل بـDebian 12 (Bookworm) بعنوان IPv4 عام واحد، وصول SSH كجذر، والإيجار مدفوع بالفعل عبر Monero. الخطوات مكتوبة لتكون قابلة للنسخ واللصق، لكن اقرأ كل واحدة قبل تنفيذها — القيم الافتراضية تتغير بين الإصدارات ولصقة غير حذرة قد تقفل عليك الصندوق.
- التحصين الأولي. قم بـSSH كجذر، أنشئ مستخدماً غير جذر مع sudo، عطّل تسجيل دخول الجذر ومصادقة كلمة المرور في
/etc/ssh/sshd_config، أعد تشغيل sshd، وفعّل ufw مع رفض الوارد افتراضياً. افتح SSH فقط (يفضّل على منفذ غير قياسي) حتى يتم تثبيت Tor والتحقق منه. - تحديثات النظام والحزم الأساسية. شغّل
apt update && apt full-upgrade -y، ثم ثبّتtorوnyxوufwوfail2banوunattended-upgradesوapt-listbugs. فعّل التحديثات الأمنية التلقائية عبرdpkg-reconfigure -plow unattended-upgradesوتأكد بـsystemctl status unattended-upgrades. - تثبيت مستودع Tor الرسمي. إصدار Tor المشحون مع Debian غالباً ما يكون متأخراً بأسابيع. أضف مستودع مشروع Tor إلى
/etc/apt/sources.list.d/tor.list، استورد مفتاح التوقيع، وأعد تثبيتtorوtor-geoipdbمن المنبع. تأكد بـtor --version— توقع 0.4.8.x أو أحدث طوال عام 2026. - تكوين الخدمة المخفية. حرّر
/etc/tor/torrc: أضفHiddenServiceDir /var/lib/tor/monero-node/، ثمHiddenServicePort 18089 127.0.0.1:18089لعقدة Monero بعيدة عامة، وأخيراًHiddenServiceVersion 3. للخدمات غير Monero، اربط أي منفذ يستمع تطبيقك عليه محلياً بأي منفذ تريد كشفه على onion. - ابدأ Tor واقرأ عنوان onion. شغّل
systemctl restart tor@default، انتظر حتى يُظهرnyxإقلاعاً ناجحاً بنسبة 100%، ثمcat /var/lib/tor/monero-node/hostname. عنوان ed25519 المكون من 56 حرفاً والمنتهي بـ.onionهو هوية خدمتك. خذ نسخة احتياطية من محتويات المجلد — خاصةhs_ed25519_secret_key— إلى وسيط مشفر دون اتصال، لأن فقدانه يعني فقدان العنوان إلى الأبد. - اربط التطبيق بـlocalhost فقط. حرّر تكوين خدمتك للاستماع على
127.0.0.1بدلاً من0.0.0.0. لخدمة Monero daemon، اضبطrpc-bind-ip=127.0.0.1فيmonerod.confومرّر العلامة--restricted-rpcلرفض عمليات المحفظة على نقطة النهاية العامة. أعد تشغيل التطبيق وتأكد بـss -tlnpأن لا شيء مربوط بالواجهة العامة. - تحقق من الخارج. من جهاز منفصل يشغل Tor Browser، انتقل إلى عنوان
.onion. يجب أن يستجيب التطبيق تماماً كما لو كان على clearnet، دون أي تسرب لعنوان IP الأساسي في الترويسات أو صفحات الخطأ. استخدمcurl --socks5-hostname 127.0.0.1:9050 http://yourservice.onion/من أي مضيف ممكَّن لـTor لإجراء فحوصات نصية. - اختياري: إنشاء onion مخصص. أدوات مثل
mkp224oتجبر بالقوة الغاشمة أزواج مفاتيح ed25519 لبادئة مرغوبة. بادئة من 6 أحرف تستغرق دقائق على وحدة معالجة مركزية حديثة؛ 8 أحرف تستغرق ساعات؛ 10 أحرف تستغرق أياماً على وحدة معالجة رسومات. تجنب البادئات التي تطابق اسمك القانوني، اسم مشروعك، أو أي سلسلة قابلة للربط أخرى — فهذا يهزم الغرض الكامل من العملية.
خدمة onion هي مجهولة فقط بقدر أضعف تسرب في طبقة التطبيق لديها. عقدة Monero تطبع اسم مضيفها في رسائل الخطأ، أو خادم ويب يشحن ترويسة Server مع DNS عكسي مبني على IP الأساسي، سيعرّض النشر للخطر بغض النظر عن مدى عناية تكوين Tor.
التحصين والمراقبة والانضباط التشغيلي
Tor daemon مكون واحد. باقي النظام يجب أن يطابق نموذج تهديده وإلا أصبح الحلقة الأضعف في السلسلة. عطّل swap بالكامل بـswapoff -a وأزل إدخال swap من /etc/fstab حتى لا يُكتب مفتاح ed25519 السري إلى القرص أبداً. فعّل kernel.kptr_restrict=2 وkernel.dmesg_restrict=1 وبقية متغيرات sysctl لتحصين النواة المجمعة في linux-hardening أو المسحوبة من مرجع sysctl الخاص بـWhonix. ملفات تعريف AppArmor لـTor وتطبيقك تضيف طبقة أخرى بتكلفة تكوين متواضعة.
اضبط nftables أو ufw لإسقاط كل حركة المرور الواردة باستثناء SSH — ومثالياً فقط من عناوين IP للإدارة، إذا كان لديك عناوين ثابتة. وإلا فاعتمد على مصادقة مفاتيح قوية وتحديد المعدل بـfail2ban. للصادر، اسمح فقط بما يحتاجه Tor: TCP 443 و9001/9030 لحركة مرور المرحل إذا كان الصندوق يعمل أيضاً كمرحل Tor، وأجبر DNS عبر منفذ SOCKS الخاص بـTor لأي تطبيق يحتاج إلى تحليل الأسماء. لا تدع التطبيق يتحدث مباشرة إلى محلل DNS الخاص بمزود الـVPS — هذا المسار يسرب بهدوء وجود تطبيقك إلى سجلات المزود.
راقب بـnyx محلياً واشحن مقاييس Prometheus عبر خدمة onion نفسها إذا كنت تحتاج إلى رسم بياني عن بُعد. تجنب دفع السجلات أو المقاييس إلى أي SaaS طرف ثالث — هذا متجه إزالة إخفاء كلاسيكي. تدوير السجلات يجب أن يكون عدوانياً: logrotate يومياً مع maxage 7، وjournalctl --vacuum-time=7d في مهمة cron أسبوعية. كلما قلت البيانات التاريخية التي تجلس على القرص، قلّ ما يمكن لطرف معادٍ مصادرته وقلّ ما عليك شرحه بعد وقوع الحدث.
النسخ الاحتياطية تستحق انضباطها الخاص. ملف hs_ed25519_secret_key هو القطعة الوحيدة من الحالة التي لا يمكنك إعادة إنشائها. شفّره بـage أو GPG باستخدام عبارة مرور قوية، خزّنه على وسيطين دون اتصال على الأقل (محركات أقراص USB بالإضافة إلى base64 مطبوع على ورق في مظروف مختوم)، واحتفظ بنسخة واحدة منفصلة جغرافياً عن موقعك الأساسي. لباقي النظام، أعد البناء من إدارة التكوين (Ansible، NixOS، أو سكربتات shell في مستودع خاص) بدلاً من نسخ صورة القرص بأكملها — النظام يجب أن يكون مؤقتاً وفقط السر يجب أن يكون ثابتاً.
الأسئلة الشائعة
هل يمكنني تشغيل خدمة Tor مخفية من المنزل بدلاً من VPS؟
تقنياً نعم — Tor لا يهتم بمكان وجود الخادم. عملياً، الاتصالات السكنية تقدم مخاطر وقت تشغيل (انقطاع الكهرباء، إعادة تفاوض مزود الخدمة، تدوير IP الديناميكي يكسر مرحلات الحراسة طويلة العمر)، وأي تسرب يكشف IP العام ينهي إخفاء الهوية إلى هوية الفوترة لديك عند مزود الخدمة. VPS بدون KYC يعزل الخدمة عن بصمتك في العالم المادي بتكلفة متواضعة — من 5 إلى 15 يورو شهرياً — ومعظم المشغلين ذوي الخبرة يعتبرون هذه المقايضة واضحة.
هل الدفع بـMonero يخفيني فعلاً عن مزود الـVPS؟
من جانب الدفع، نعم. RingCT وتوقيعات الحلقة وعناوين التخفي وترحيل المعاملات Dandelion++ الخاصة بـMonero تكسر الرابط بين محفظتك وعنوان الإيداع الذي تدفع إليه. مزود VPS يرى دفعة واردة بدون مرسل نصي. ما لا يمكن لنظافة الدفع إصلاحه هو باقي عملية التسجيل: بريد إلكتروني مستخدم في مكان آخر، اسم مستخدم من منتدى عام، أو بصمة مفتاح SSH مشتركة مع حساب غير مجهول. تعامل مع إخفاء الهوية كسلسلة — Monero رابط واحد، ليس الكل.
كم تدوم عناوين v3 onion؟
إلى أجل غير مسمى، طالما احتفظت بملف hs_ed25519_secret_key آمناً. العنوان مشتق بشكل حتمي من ذلك المفتاح. يمكنك نسخ المجلد إلى VPS جديد، إعادة تشغيل Tor، وسيتم حل نفس عنوان .onion إلى الخادم الجديد في غضون دقائق. هذا هو أساس المرونة التشغيلية: عندما يصبح VPS واحد غير جدير بالثقة أو غير متاح، تنقل المفتاح، لا العنوان، ويعيد العملاء الاتصال دون أي تغيير من جانبهم.
هل أحتاج إلى تشغيل عقدة Monero الخاصة بي، أم يمكنني استخدام عقدة عامة عبر Tor؟
كلاهما مشروع. العقد onion العامة (المدرجة في monero.fail) مريحة ولا تتطلب بنية تحتية، لكنها ترى بث معاملاتك واستفساراتك. تشغيل عقدتك الخاصة خلف خدمتك المخفية يكلف ما يقارب 200 جيجابايت من التخزين بالإضافة إلى فاتورة VPS، لكنه يزيل متطلب الثقة بالكامل. للتدفقات عالية القيمة — بما في ذلك تحويل الأموال عبر MoneroSwapper دون ترك بيانات وصفية قابلة للربط في أي نقطة نهاية لطرف ثالث — العقدة المستضافة ذاتياً هي الموقف الأقوى مادياً.
ماذا يحدث إذا تمت مصادرة المفتاح الخاص لخدمتي المخفية؟
أي شخص يحمل ملف hs_ed25519_secret_key يمكنه تقديم حركة المرور على عنوان .onion الخاص بك من أي بنية تحتية يتحكم بها، والاستبدال غير قابل للتمييز للعملاء. لذلك يجب تشفير النسخ الاحتياطية في حالة الراحة بعبارة مرور تعرفها أنت فقط — التشفير الكامل للقرص على الـVPS وحده ليس كافياً، لأن النظام قيد التشغيل يحتفظ بالمفتاح في الذاكرة. إذا كانت المصادرة وشيكة، انتقل إلى عنوان onion جديد على الفور وأعلن عن التغيير عبر قناة موقعة مسبقاً خارج النطاق يثق بها العملاء بالفعل.
خلاصة
إعداد خدمة Tor مخفية على VPS مجهول ليس عملية شراء منتج واحد؛ إنه سلسلة من القرارات حول الولاية القضائية، نظافة الدفع، تحصين النظام، وإدارة المفاتيح. كل خطوة تغلق سطح تعريف واحد وتترك الباقي مرئياً. الهدف من القيام بها جميعاً معاً هو أن لا يوجد فشل واحد — تدقيق مزود، لافتة سيئة التكوين، سطر سجل مسرّب — ينهار المجموعة بأكملها. لمشغلي Monero ولأي شخص آخر يحتاج إلى بنية تحتية دائمة بدون KYC، الوصفة أعلاه هي الخط الأساسي العامل. عندما تكون الخدمة التي تصل إليها على الجانب الآخر شيئاً مثل نقطة نهاية MoneroSwapper onion، فإن نفس المعايير تنطبق على جانب العميل أيضاً: امتلك المسار من البداية إلى النهاية، أو اقبل أنك لا تملك خصوصية حقيقية.