Wewnątrz sieci Tor ruch jest przekazywany pomiędzy ruterami, osiągając w końcu węzeł wyjściowy, z którego niezaszyfrowany pakiet jest przekazywany do miejsca przeznaczenia. Z punktu widzenia docelowego komputera, ruch wydaje się pochodzić z wyjściowego węzła sieci Tor.
Schemat połączenia wygląda w następujący sposób. Użytkownik → węzeł1 → węzeł2 → węzeł3 → Serwer docelowyAnonWatch, Tor in Depth – analiza bezpieczeństwa sieci Tor..
Pakiet (porcja informacji, np. post na forum) jest zaszyfrowany szyfrem, do którego klucz posiada wyłącznie węzeł 3. Dołączony do niego jest zaszyfrowany adres węzła 2 – klucz do niego posiada węzeł 1 – a także zaszyfrowany adres węzła 3 – klucz do niego posiada węzeł 2.
Węzeł 3 komunikuje się z serwerem docelowym, a następnie odpowiedź przekazuje analogicznie w drugą stronę.
Sieć Tor działa na poziomie protokołu TCP i – inaczej niż większość pozostałych sieci anonimowych – nie narzuca ograniczeń co do możliwych zastosowań. Anonimizacji przy użyciu Tora poddawane są często takie aplikacje, jak IRC, komunikatory internetowe czy przeglądanie stron WWW.