Kurze Antwort
Wie verbinde ich mich per SSH über Tor mit meinem VPS?
Um per SSH über Tor auf Ihren VPS zuzugreifen, installieren Sie tor auf Ihrem Computer und führen torsocks ssh user@your-vps aus. Alternativ fügen Sie auf dem VPS einen Onion-Dienst mit HiddenServicePort 22 127.0.0.1:22 hinzu und verbinden sich mit seinem .onion-Namen. Gloamports Dusk-Tarif, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic zu $5.25 pro Monat bei der 12-Monats-Laufzeit, passt zu beidem.
Welcher Weg passt zu welchem Ziel?
| Weg | Was Sie installieren | Wer sieht was | Hauptkosten |
|---|---|---|---|
| Client-Weg: torsocks ssh zur VPS-Adresse | tor und torsocks auf Ihrem Computer | Der VPS sieht eine Tor-Relay-Adresse, nicht Ihre Heimadresse; Ihr Internetanbieter sieht nur Tor-Verkehr | Langsamere Verbindungen; der VPS hat weiterhin einen öffentlichen SSH-Port |
| Onion-Weg: SSH als Onion-Dienst | tor auf dem VPS und auf Ihrem Computer | Keine Seite erfährt die IP-Adresse der anderen; der SSH-Port kann für das Internet geschlossen werden | Ein zweiter Dienst, der laufen und abgesichert werden muss |
| Onion-Weg mit Client-Autorisierung | Dasselbe, plus ein x25519-Schlüsselpaar | Nur Inhaber des Schlüssels können den Dienst überhaupt auflösen | Zu sichernder Schlüssel |
Wege wie in der Dokumentation des Tor Project beschrieben; siehe die Quellen unten.
Warum würden Sie per SSH über Tor gehen?
Sie täten es, um Ihre eigene Netzwerkadresse aus den Aufzeichnungen des Servers herauszuhalten. Ohne Tor sieht der Server die Adresse, von der Sie sich verbinden; über Tor sieht er die Adresse eines Tor-Relays. Der Weg verbirgt Ihre Identität vor dem VPS nicht: Sie melden sich mit Ihrem Schlüssel an, und der ist dort Ihre Identität.
Tor fügt außerdem Verzögerung hinzu. Eine Shell über Tor ist brauchbar, aber langsamer als eine direkte, und große Kopien sind langsam. Betrachten Sie Tor als Zugang, wenn Ihre direkte Adresse zählt, und behalten Sie für große Übertragungen eine direkte Route. Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login. Wenn Sie noch keinen Schlüssel erzeugt haben, lesen Sie zuerst Wie erzeuge ich einen SSH-Schlüssel für meinen VPS?.
Wie verbinde ich mich per SSH über Tor zu einem VPS mit dem Client-Weg?
Auf dem VPS ist nichts nötig. Die Befehle gelten für Debian 13 und Ubuntu 24.04.
Tor und torsocks auf Ihrem Computer installieren
Führen Sie apt install tor torsocks netcat-openbsd aus. Tor lauscht standardmäßig als SOCKS-Proxy auf 127.0.0.1:9050; diese Adresse nutzt torsocks ohne weitere Konfiguration.
Tor starten
Führen Sie systemctl enable --now tor aus und warten Sie, bis der Dienst vollständig gestartet ist. Das Tor-Protokoll in journalctl zeigt, wann er bereit ist.
Mit torsocks verbinden
Führen Sie torsocks ssh mit Benutzer und Adresse Ihres VPS aus. torsocks leitet die Verbindung über den SOCKS-Port von Tor.
Oder dauerhaft in ssh_config festlegen
Fügen Sie einen Host-Eintrag mit ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %p hinzu. SSH ersetzt %h und %p durch Hostnamen und Port, und nc spricht SOCKS5 mit Tor.
Prüfen Sie die Adresse, die der Server sieht
Führen Sie nach dem Login den Befehl who oder last aus und prüfen Sie die Quelladresse. Es ist ein Tor-Relay, nicht Ihre eigene Adresse.
sudo apt install tor torsocks netcat-openbsd
sudo systemctl enable --now tor
torsocks ssh root@YOUR_VPS_IP
# ~/.ssh/config alternative
Host gloam-tor
HostName YOUR_VPS_IP
User root
ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %pWie mache ich den VPS als Onion-Dienst erreichbar?
Tun Sie dies, während Ihr normaler SSH-Weg noch funktioniert. Wenn Sie zuerst Port 22 schließen und der Onion-Dienst ausfällt, haben Sie keine Shell mehr.
Tor auf dem VPS installieren
Melden Sie sich über das normale SSH an und führen Sie apt install tor aus.
Den versteckten Dienst zur torrc hinzufügen
Hängen Sie HiddenServiceDir- und HiddenServicePort-Zeilen an /etc/tor/torrc an. Das Handbuch sagt, dass jeder versteckte Dienst ein eigenes Verzeichnis braucht und dass HiddenServicePort einen virtuellen Port auf ein Ziel abbildet, standardmäßig auf 127.0.0.1.
Tor neu starten und die Adresse lesen
Führen Sie systemctl restart tor aus und lassen Sie sich dann die Datei hostname im HiddenServiceDir anzeigen. Sie enthält Ihre .onion-Adresse.
Von Ihrem Computer aus verbinden
Führen Sie bei laufendem Tor auf Ihrem Computer torsocks ssh [email protected] aus. Vergleichen Sie den Fingerprint des Host-Schlüssels mit dem, den Sie vom normalen Weg kennen.
Festlegen, wer sie finden kann (optional)
Fügen Sie eine Client-Autorisierung hinzu: Legen Sie eine einzeilige .auth-Datei in authorized_clients/ auf dem VPS ab und eine passende .auth_private-Datei im ClientOnionAuthDir des Clients, wie auf der Seite zur Client-Autorisierung von Onion-Diensten beschrieben.
Erst dann den öffentlichen Port schließen
Wenn die Onion-Anmeldung aus einer zweiten Sitzung funktioniert, schränken Sie sshd oder die Firewall so ein, dass die öffentliche Adresse nicht mehr auf SSH antwortet, falls Sie das wollen.
# /etc/tor/torrc (append)
HiddenServiceDir /var/lib/tor/ssh_service/
HiddenServicePort 22 127.0.0.1:22
sudo systemctl restart tor
sudo cat /var/lib/tor/ssh_service/hostname
# On your computer
torsocks ssh root@YOUR_ADDRESS.onion# VPS: /var/lib/tor/ssh_service/authorized_clients/alice.auth (one line)
descriptor:x25519:BASE32_PUBLIC_KEY
# Your computer: torrc
ClientOnionAuthDir /var/lib/tor/onion_auth
# Your computer: /var/lib/tor/onion_auth/alice.auth_private (one line)
ONION_ADDRESS_WITHOUT_.onion:descriptor:x25519:BASE32_PRIVATE_KEYWas sind die Grenzen von SSH über Tor?
Die Grenzen sind Geschwindigkeit, die Anmeldung selbst und der zweite Dienst. Zuerst die Geschwindigkeit: Der Umweg über Tor fügt jeder Tastatureingabe Verzögerung hinzu. Dann die Anmeldung: Ihr SSH-Schlüssel beweist dem VPS weiterhin, wer Sie sind; verwenden Sie deshalb nie einen Schlüssel für einen Server, der mit Ihrem Namen verbunden ist. Schließlich ist der Onion-Dienst ein zweites Programm, das gepatcht werden muss. Das Tor-Handbuch sagt selbst, dass jeder versteckte Dienst ein eigenes Verzeichnis braucht und dass die Datei hostname darin die Adresse enthält; schützen Sie dieses Verzeichnis deshalb wie einen Schlüssel.
Tor verhindert keine Fehler. Eine Shell, die im eigenen Browser eine Webseite öffnet, oder eine Datei, die Sie über die ungeschützte Route kopieren, verbindet Sie trotzdem mit dem Server. Mehr zu Onion-Diensten selbst lesen Sie unter Was ist ein Onion-Dienst, und wie funktioniert er?.
Welchen Gloamport-Tarif brauchen Sie für einen Onion-Dienst?
Dusk ist der dafür vorgesehene Tarif: 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, $5.25 pro Monat bei der 12-Monats-Laufzeit, $10.50 bei einem einzelnen Monat. Gloamport beschreibt ihn als Ein VPN plus ein Tor-Relay oder eine Onion-Seite. Ein reiner SSH-Onion-Dienst ist leicht; Ember ($3.74 pro Monat bei der 12-Monats-Laufzeit) funktioniert also auch. Wir haben keines von beiden gemessen.
Laut Gloamports Umfrage unter 10. November 2026 veröffentlichen 10 der 49 gelisteten Anbieter eine Onion-Adresse für die eigene Seite. Wenn Sie auch eine Seite veröffentlichen wollen, siehe Wie hoste ich eine Onion-Seite auf einem VPS?, und sichern Sie zuerst das Basissystem mit Wie härte ich SSH auf einem neuen VPS ab?.
Zusammenfassung
- Client-Weg: tor und torsocks installieren, dann torsocks ssh user@vps ausführen.
- Tor lauscht standardmäßig auf dem SOCKS-Port 9050; ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %p erreicht dasselbe aus ssh_config.
- Onion-Weg: HiddenServiceDir plus HiddenServicePort 22 127.0.0.1:22 in der torrc des VPS.
- Die .onion-Adresse steht in der Datei hostname des HiddenServiceDir.
- Die Client-Autorisierung nutzt eine Zeile descriptor:x25519 in authorized_clients/*.auth.
- Schließen Sie den öffentlichen SSH-Port erst, nachdem die Onion-Anmeldung funktioniert.
- Dusk, $5.25 pro Monat bei 12 Monaten, ist der passende Tarif.
SSH über Tor: häufige Fragen
Verbirgt SSH über Tor meine Identität vor dem VPS?
Nein. Es verbirgt Ihre Netzwerkadresse, aber Sie melden sich weiterhin mit Ihrem Schlüssel und Ihrem Konto an. Verwenden Sie einen eigenen Schlüssel für einen Server, den Sie nicht mit anderer Arbeit verknüpfen möchten.
Warum meldet torsocks ssh „connection refused“?
Tor läuft wahrscheinlich nicht oder hat den Aufbau noch nicht abgeschlossen. Prüfen Sie den Dienst und warten Sie, bis er bereit ist. torsocks verwendet den SOCKS-Port 127.0.0.1:9050, sofern Sie nichts anderes konfigurieren.
Kann ich das Dashboard des VPS nutzen, wenn ich mich selbst von SSH ausgesperrt habe?
Ja, für Neustarts und Neuinstallationen: Neustarts und Neuinstallationen werden im Dashboard angefordert und vom Team ausgeführt; eine Neuinstallation löscht die Festplatte. Eine Neuinstallation löscht die Festplatte; halten Sie daher einen funktionierenden SSH-Weg und eine Kopie dessen bereit, was Sie brauchen.
Wo wird meine Onion-Adresse gespeichert?
In der Datei hostname im HiddenServiceDir auf dem VPS, zusammen mit den Schlüsseln, aus denen der Dienst besteht. Sichern Sie das Verzeichnis, wenn Sie dieselbe Adresse behalten wollen.
Ist der Client-Weg oder der Onion-Weg sicherer?
Der Onion-Weg hält den SSH-Port vom öffentlichen Internet fern und entfernt damit ein Angriffsziel. Der Client-Weg braucht auf dem VPS nichts Installiertes und ist schneller auszuprobieren.
Quellen (5)
- Tor-Handbuch: HiddenServiceDir, HiddenServicePort, SocksPort, Client-Autorisierung 2019.www.torproject.org/docs/tor-manual.html.en — The Tor Project (checked 2026-11-10)
- Onion-Dienste: Einrichtung community.torproject.org/onion-services/setup — The Tor Project (checked 2026-11-10)
- Onion-Dienste: Client-Autorisierung community.torproject.org/onion-services/advanced/client-auth — The Tor Project (checked 2026-11-10)
- Handbuchseite torsocks(1) — Arch Linux manual pages (checked 2026-11-10)
- Handbuchseite ssh_config(5): ProxyCommand — OpenBSD / OpenSSH (checked 2026-11-10)