Kurze Antwort
Wie verwende ich SSH als SOCKS-Proxy über meinen VPS?
Führen Sie von Ihrem Computer ssh -D 127.0.0.1:1080 -N user@your-vps aus und richten Sie dann eine Anwendung auf den SOCKS5-Proxy 127.0.0.1:1080. Der Verkehr verlässt den VPS mit seiner Adresse. Ein Gloamport-Ember-Tarif, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic bei $3.74 pro Monat bei der 12-Monats-Laufzeit, trägt das, weil OpenSSH bereits auf dem Server läuft.
Welche SSH-Optionen nutzt ein SOCKS-Proxy?
| Option | Standort | Was sie tut |
|---|---|---|
| -D [bind_address:]port | ssh-Befehlszeile | Lokale dynamische Weiterleitung: ssh arbeitet als SOCKS4/SOCKS5-Server auf diesem Port |
| -N | ssh-Befehlszeile | Keinen Remote-Befehl ausführen; nur weiterleiten |
| -f | ssh-Befehlszeile | Nach der Authentifizierung in den Hintergrund gehen |
| -o ExitOnForwardFailure=yes | ssh-Befehlszeile | Die Verbindung beenden, wenn die Weiterleitung nicht eingerichtet werden kann |
| DynamicForward | ~/.ssh/config | Dasselbe wie -D, aber in der Konfigurationsdatei gespeichert |
| ServerAliveInterval | ~/.ssh/config | Den Server nach dieser Zahl stiller Sekunden um eine Antwort bitten; der Standard 0 schaltet es ab |
Bedeutung der Optionen laut den Handbuchseiten ssh und ssh_config von OpenSSH
Was tut ein SSH-SOCKS-Proxy, und was tut er nicht?
Ein SSH-SOCKS-Proxy schickt den Verkehr der Anwendungen, die Sie darauf richten, durch eine verschlüsselte SSH-Verbindung zu Ihrem VPS, der dann die echten Verbindungen öffnet. Die Handbuchseite zu ssh beschreibt -D als lokale dynamische Weiterleitung, bei der ssh als SOCKS4- oder SOCKS5-Server arbeitet, und der entfernte Rechner liest das Ziel aus dem Anwendungsprotokoll.
Die Websites, die Sie besuchen, sehen dann die Adresse des VPS statt Ihrer Heimadresse. Drei Dinge bleiben gleich. Nur Anwendungen, die für den Proxy eingerichtet sind, nutzen ihn; der Rest Ihres Systems läuft wie gewohnt. Ihr VPS-Anbieter kann die Verbindung von Ihrer Adresse zum VPS sehen. Und die Seiten, bei denen Sie sich anmelden, wissen trotzdem, wer Sie sind. Ein SOCKS-Proxy verlagert den Ursprung der Anfragen; er verbirgt Sie nicht vor den Diensten, bei denen Sie sich anmelden. Wenn Sie jedes Gerät vollständig routen müssen, nehmen Sie stattdessen einen Tunnel: Wie richte ich WireGuard auf einem VPS ein?.
Wie Sie SSH als SOCKS-Proxy nutzen
Sie brauchen einen VPS, auf den Sie sich bereits per SSH anmelden können. Wenn Sie noch keinen Schlüssel haben, beginnen Sie mit dem Schlüssel-Leitfaden.
Einmal anmelden, um den Zugang zu prüfen
Verbinden Sie sich mit ssh root@YOUR_VPS_IP oder dem Benutzer, den Sie angelegt haben. Gloamport gibt Ihnen Root per SSH: den Schlüssel, den Sie beim Checkout eingefügt haben, oder ein temporäres Root-Passwort, falls Sie das Feld leer gelassen haben. Ändern Sie dieses Passwort beim ersten Login.
Die dynamische Weiterleitung öffnen
Führen Sie auf Ihrem eigenen Computer den ersten Befehl aus dem Codeblock unten aus. Das Terminal bleibt beschäftigt und gibt nichts aus: Der Proxy ist offen, solange der Befehl läuft. Die Bindung an 127.0.0.1 hält den Port nur für Ihren Computer erreichbar.
Mit curl testen
Führen Sie in einem zweiten Terminal den curl-Befehl aus dem Codeblock aus. --socks5-hostname lässt den Proxy den Namen auflösen, sodass auch DNS-Abfragen über den VPS laufen. Ersetzen Sie example.org durch eine Prüfseite Ihrer Wahl, die Ihnen die Adresse des VPS anzeigt.
Browser auf den Proxy richten
Wählen Sie in den Netzwerkeinstellungen des Browsers einen manuellen Proxy: SOCKS-Host 127.0.0.1, Port 1080, SOCKS v5. Aktivieren Sie die Option des Browsers, DNS über den Proxy aufzulösen (Firefox nennt sie „Proxy-DNS bei Verwendung von SOCKS v5“), damit Abfragen nicht über Ihren lokalen Resolver laufen.
Im Hintergrund laufen lassen, falls gewünscht
Fügen Sie -f und -o ExitOnForwardFailure=yes zum Befehl hinzu. ssh geht dann in den Hintergrund, sobald die Weiterleitung steht, und bricht mit einem Fehler ab, wenn der Port belegt ist. Beenden Sie es später mit dem kill-Befehl aus dem Codeblock.
In ~/.ssh/config speichern
Legen Sie einen Host-Eintrag mit DynamicForward und ServerAliveInterval in Ihrer SSH-Konfiguration an und starten Sie den Proxy dann mit ssh -N gloam-proxy. Die Alive-Nachrichten verhindern, dass eine untätige Verbindung stillschweigend abbricht.
# Foreground: the proxy lives as long as this command runs
ssh -D 127.0.0.1:1080 -N root@YOUR_VPS_IP
# Test from a second terminal; the proxy resolves the name too
curl --socks5-hostname 127.0.0.1:1080 https://example.org/
# Background version
ssh -f -N -o ExitOnForwardFailure=yes -D 127.0.0.1:1080 root@YOUR_VPS_IP
# Stop the background proxy
pkill -f "ssh -f -N -o ExitOnForwardFailure=yes -D 127.0.0.1:1080"Host gloam-proxy
HostName YOUR_VPS_IP
User root
DynamicForward 127.0.0.1:1080
ServerAliveInterval 30
ExitOnForwardFailure yesWelcher Gloamport-Tarif reicht für einen SSH-Proxy?
Der kleinste Tarif reicht, da der Server nur Bytes weiterleitet. Ember bietet 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic für $3.74 pro Monat bei 12 Monaten Laufzeit und $22.44 für 3 Monate. Der Traffic-Wert zählt mehr als die CPU: Alles, was Sie surfen, zählt auf das monatliche Kontingent des Tarifs. Eine IPv4-Adresse und ein IPv6 /64 pro VPS, an einem 1-Gbit/s-Port. Der Datenverkehr eines Tarifs zählt nur ausgehende Daten, und ihn zu nutzen erzeugt für sich allein nie eine Rechnung.
Eine stärkere Nutzung, etwa mehrere Personen, die einen Proxy teilen, ist ein Grund, auf Dusk bei $5.25 pro Monat umzusteigen, der für Ein VPN plus ein Tor-Relay oder eine Onion-Seite dimensioniert ist. Tarife gibt es mit 1, 3, 6 und 12 Monaten Laufzeit, bei Ember und Dusk mindestens 3 Monate; siehe die Tarife und Laufzeiten.
Wie machen Sie die SSH-Seite sicher, bevor Sie Verkehr darüber leiten?
Verwenden Sie einen Schlüssel statt eines Passworts, und schalten Sie die Passwort-Anmeldung ab, sobald der Schlüssel funktioniert. So wird der eine offene Port Ihres VPS nicht zum Ziel für Passwort-Rate-Angriffe. Die Schritte stehen in Wie erzeuge ich einen SSH-Schlüssel für meinen VPS? und Wie härte ich SSH auf einem neuen VPS ab?.
Ein zweiter Punkt ist die Bind-Adresse. Das ssh-Handbuch sagt, dass ein -D-Port der Einstellung GatewayPorts folgt, sofern Sie keine Adresse angeben, und dass eine leere Adresse oder * den Port auf allen Schnittstellen öffnet. Schreiben Sie vor dem Port immer 127.0.0.1, wie in den obigen Befehlen, damit niemand sonst in Ihrem Netzwerk Ihren Proxy nutzen kann.
Ist ein SSH-SOCKS-Proxy besser als ein VPN?
Ein SSH-Proxy ist schneller eingerichtet, und ein VPN deckt mehr ab. Der Proxy braucht einen Befehl und keine Server-Software, behandelt aber nur Anwendungen, die SOCKS sprechen. Ein VPN-Tunnel trägt den gesamten Verkehr eines Geräts. Laut Gloamports Umfrage unter 10. November 2026 verlangen 28 der 49 gelisteten Anbieter bei der Registrierung kein Ausweisdokument; ein Server für einen Proxy muss Sie also Ihre Dokumente nicht kosten. Einen längeren Vergleich bietet Ist ein selbst gehostetes VPN auf einem VPS besser als ein VPN-Dienst?.
Zusammenfassung
- ssh -D 127.0.0.1:1080 -N user@vps erzeugt einen lokalen SOCKS5-Proxy, der über den VPS ausgeht.
- Auf dem Server wird nichts Zusätzliches installiert; OpenSSH reicht.
- Verwenden Sie curl --socks5-hostname, damit DNS ebenfalls über den Proxy aufgelöst wird.
- Binden Sie an 127.0.0.1; eine leere Bind-Adresse öffnet den Port auf allen Schnittstellen.
- Nur Anwendungen, die den Proxy verwenden, laufen darüber; ein VPN trägt alles.
- Ember, $3.74 pro Monat bei 12 Monaten, betreibt ihn.
- Melden Sie sich mit einem Schlüssel an und schalten Sie dann Passwort-Anmeldungen aus.
SSH-SOCKS-Proxy: häufige Fragen
Funktioniert ssh -D mit SOCKS4 und SOCKS5?
Ja. Das ssh-Handbuch sagt, dass ssh für -D als SOCKS4- oder SOCKS5-Server arbeitet. Verwenden Sie SOCKS5, wo die Anwendung es anbietet, weil es Hostnamen an den Proxy übergeben kann.
Warum nutzt mein Browser weiterhin mein lokales DNS?
Der Browser löst Namen selbst auf, außer Sie sagen ihm, dass er Abfragen über den Proxy schicken soll. Aktivieren Sie die Option für Remote-DNS bei SOCKS v5, und verwenden Sie für Tests curl --socks5-hostname.
Wie verhindere ich, dass der Proxy im Leerlauf schließt?
Setzen Sie ServerAliveInterval in ~/.ssh/config, zum Beispiel auf 30. Der Standard ist 0, was überhaupt keine Alive-Nachrichten sendet.
Kann ich den Proxy mit anderen Geräten in meinem Netzwerk teilen?
Ja, indem Sie die Bind-Adresse ändern; damit ist der Proxy aber jedem Gerät zugänglich, das diesen Port erreichen kann. Behalten Sie 127.0.0.1, außer Sie schützen den Port mit einer Firewall.
Kann ich ihn über einen anderen Host verketten?
Ja. ssh -J (ProxyJump) verbindet zuerst über einen oder mehrere Sprung-Hosts; konfigurieren Sie die Sprung-Hosts in ~/.ssh/config, weil Befehlszeilenoptionen nur für das Ziel gelten.
Quellen (3)
- Handbuchseite ssh(1): -D, -N, -f, -J — OpenBSD / OpenSSH (checked 2026-11-10)
- Handbuchseite ssh_config(5): DynamicForward, ExitOnForwardFailure, ServerAliveInterval — OpenBSD / OpenSSH (checked 2026-11-10)
- curl-Handbuch: --socks5-hostname — curl project (checked 2026-11-10)