دانه برف (نرم‌افزار)
عملکرد

بسته‌های داده اینترنتی عادّی هنگام دریافت شدن، با مبدأ اصلی و گیرنده نهایی داده برچسب زده می‌شوند. به‌طور مثال، یک بسته حاوی متن رمزنگاری شده این مقاله، با مقصد (آدرس IP رایانه خواننده) و مبدأ (آدرس IP یک سرور ویکی‌پدیا) برچسب زده می‌شود. این بدان معناست که حتّی اگر محتوای حقیقی رمزنگاری شده باشد، یک وسیله سانسور می‌تواند تمام بسته‌ها از جانب مبدأهای خاص را مسدود کند (برای نمونه، مسدودسازی هر بسته‌ای که از جانب ویکی‌پدیا می‌آید).
از طرف دیگر، اتّصالات Tor ترافیک رمزنگاری شده را از میان زنجیره‌ای از پراکسی‌ها انتقال می‌دهند. هر گره فقط آدرس‌های دو گره مجاور خود را می‌داند، که این موضوع، ردگیری ترافیک را بسیار سخت‌تر می‌کند. پیام مورد نظر در چندین لایه رمزنگاری می‌شود؛ بنابراین این عمل «مسیریابی پیازی» نامیده می‌شود. یک تشبیه فیزیکی این است که یک پاکت نامه را که پیام حقیقی را حمل می‌کند در داخل یک مجموعه تودرتو از پاکت نامه‌ها ببندیم، به طوری که هر پاکت نامه یک آدرس متفاوت روی آن داشته باشد؛ هر سرور بیرونی‌ترین پاکت نامه را که طبق آدرس روی آن به دستش رسیده‌است، باز می‌کند و باقیمانده بسته را به دست آدرسی که سپس آشکار می‌شود، می‌رساند. از آنجا که مبدأ محتوا پشت لایه‌هایی از سرورهای پراکسی مخفی است، مبدأهای مسدود شده همچنان می‌توانند در دسترس باشند و مشخّص نیست که کدام گیرنده به چه محتوایی دسترسی پیدا کرده‌است.
از آنجایی که Tor می‌تواند برای دسترسی به تارنماهای مسدود شده مورد استفاده قرار گیرد، برخی کشورها، از جمله ایران و روسیه، شبکه Tor را مسدود می‌کنند. این بدان معناست که کاربران Tor نمی‌توانند به سادگی به یک گره ورودی Tor که عموماً شناخته شده‌است، وصل شوند. همه گره‌های شناخته شده Tor توسّط وسایل سانسور مسدود خواهند شد. به جای آن، کاربران به یک پل Tor وصل می‌شوند، سروری که به‌طور محرمانه‌ای یک نقطه ورودی Tor است. وسایل سانسور، به ترتیب، جویای شناسایی و مسدودسازی پل‌های Tor هستند، که آن‌ها را با استفاده از بازرسی ژرف بسته‌ها شناسایی می‌کنند.
Snowflake تعداد زیادی از گره‌های ورودی Tor را که هر از گاهی تغییر می‌کنند، ارائه می‌دهد. یک کاربر با درخواست کردن از یک سرور دلّال (broker)، آدرس IP یک گره Snowflake را که در حال حاضر فعّال است، تهیّه می‌کند؛ سرور دلّال (broker) به نوبه خود از دامنه صوری استفاده می‌کند تا تظاهر کند که یک تارنمای کلان است. سپس کاربر مستقیماً با گره Snowflake – که داده‌ها را به سوی رله‌های شبکه Tor عبور می‌دهد – صحبت می‌کند. ترافیک شبیه به یک ترافیک نظیر-به-نظیر عادّی است، مانند همانی که توسّط بسیاری از برنامه‌های ویدئو-کنفرانس استفاده می‌شود.
یک گره Snowflake هرگاه که مرورگر یا برنامه به اینترنت متّصل می‌شود، اجرا می‌شود. اگر میزبان گره، یک IP پویا داشته باشد، آن گره آدرس IP خود را در طول زمان تغییر خواهد داد. همچنین ببینید، شبکه ad hoc.
از این رو، گره‌های Snowflake به عنوان گره‌های ورودی Tor استفاده می‌شوند، نه به عنوان گره‌های خروجی. گره‌های خروجی آن سر دیگر زنجیره هستند. آن‌ها گره‌هایی از Tor هستند که می‌دانند که چه محتوایی درخواست شد؛ با اینکه آن‌ها نمی‌دانند که چه کسی آن را درخواست کرد (برای نمونه، آن‌ها می‌دانند که یک کاربر داشت با یک سرور ویکی‌پدیا ارتباط می‌گرفت، امّا آن‌ها آدرس IP کاربر را نمی‌دانند). گره‌های خروجی ممکن است با اقدام قانونی در کشوری که در آن میزبانی می‌شوند، مواجه شوند در صورتی که آن‌ها محتوایی را انتقال دهند که در آن کشور غیرقانونی است (لذا آن‌ها معمولاً در کشورهایی اداره می‌شوند که فیلترینگ اینترنت در آن‌ها کم است). احتمالش کم است که میزبان‌های گره Snowflake با چنین مسئولیّتی مواجه شوند، چرا که آنها نمی‌دانند که چه محتوایی را دارند انتقال می‌دهند. هرچند، کشورهایی وجود دارند که در آن‌ها استفاده از Tor برای هرگونه هدفی غیرقانونی است، مانند روسیه و ایران.