Настройка TOR-сервера для обхода блокировок в 2023 году

В 2023 году в Интернете произошла удивительная вещь! Вместо того, чтобы бороться за связность - сисопы и сисадмины начали опускать железный занавес самостоятельно! И ладно бы, только для корпоративных ремозиториев - свободное ПО перестает быть свободным и становится заложником политикнутых олухов!
ClamAV не доступен в России.
Grafana - аналогично.

Придется ставить ТОР на сервера, чтобы обновить их. Дожили...
Ситуации не помогает то, что ТОР и большая часть ТОРовских бриджей заблокирована не с той, а уже с этой стороны. Но Snowflake пока еще работает.
Итак, что нужно:

0. Дистрибутив Debian
1. Установить ТОР на debian: https://support.torproject.org/apt/tor-deb-repo/
2. Собрать бридж. В принципе, скрипт все сделает:

#!/bin/bash
git clone https://gitlab.torproject.org/tpo/anti-censorship/pluggable-transports/snowflake.git
wget https://go.dev/dl/go1.20.2.linux-amd64.tar.gz
rm -rf /usr/local/go && tar -C /usr/local -xzf go1.20.2.linux-amd64.tar.gz
echo 'export PATH=$PATH:/usr/local/go/bin/' >> /etc/profile
. /etc/profile
cd ./snowflake/client
go get && go build
cp ./client /etc/tor

3. Заменить полностью содержимое /etc/tor/torrc вот на это:

SocksPort 127.0.0.1:9050
Exitpolicy reject *:*
ExitPolicy reject6 *:*
ExtORPort auto
#ExcludeNodes {ru},{ua},{by},{kz},{??}
StrictNodes 1
ExitRelay 0
UseBridges 1

ClientTransportPlugin snowflake exec /etc/tor/client \
-url https://snowflake-broker.torproject.net.global.prod.fastly.net/ \
-front cdn.sstatic.net \
-ice stun:stun.voip.blackberry.com:3478,stun:stun.antisip.com:3478,stun:stun.bluesip.net:3478,stun:stun.dus.net:3478,stun:stun.epygi.com:3478,stun:stun.sonetel.com:3478,stun:stun.sonetel.net:3478,stun:stun.uls.co.za:3478,stun:stun.voipgate.com:3478,stun:stun.voys.nl:3478

Bridge snowflake 192.0.2.3:1

3. Остановить сервис tor.service и заменить содержимое его файлика /lib/systemd/system/tor.service (а затем выполнить systemctl daemon-reload и рестартовать tor.service):

[Unit]
Description=Anonymizing overlay network for TCP
After=syslog.target network.target nss-lookup.target
PartOf=tor-master.service
ReloadPropagatedFrom=tor-master.service

[Service]
Type=simple
ExecStartPre=/usr/bin/tor --runasdaemon 0 --defaults-torrc /usr/share/tor/tor-service-defaults-torrc -f /etc/tor/torrc --verify-config
ExecStart=/usr/bin/tor --runasdaemon 0 --defaults-torrc /usr/share/tor/tor-service-defaults-torrc -f /etc/tor/torrc
ExecReload=/bin/kill -HUP ${MAINPID}
KillSignal=SIGINT
TimeoutSec=30
Restart=on-failure
RestartSec=1
LimitNOFILE=32768

# Hardening
PrivateTmp=yes
DeviceAllow=/dev/null rw
DeviceAllow=/dev/urandom r
InaccessibleDirectories=/home
InaccessibleDirectories=/root
InaccessibleDirectories=/run/user
ReadOnlyDirectories=/boot
ReadOnlyDirectories=/etc
ReadOnlyDirectories=/usr
ReadOnlyDirectories=/run
ReadOnlyDirectories=/var
ReadWriteDirectories=/run/tor
ReadWriteDirectories=/var/lib/tor
ReadWriteDirectories=/var/log/tor
CapabilityBoundingSet=CAP_SETUID CAP_SETGID CAP_NET_BIND_SERVICE CAP_DAC_READ_SEARCH
PermissionsStartOnly=yes

[Install]
WantedBy = multi-user.target

4. Прописать в /etc/apt/apt.conf:

Acquire::http::Proxy "socks5h://127.0.0.1:9050";
Acquire::https::Proxy "socks5h://127.0.0.1:9050";

5. Прописать этот прокси в систему, либо в конфиги конкретного софта.