Respuesta rápida
¿Cómo me conecto por SSH a mi VPS a través de Tor?
Para conectarse por SSH a su VPS a través de Tor, instale tor en su ordenador y ejecute torsocks ssh usuario@su-vps, o añada un servicio onion en el VPS con HiddenServicePort 22 127.0.0.1:22 y conéctese a su nombre .onion. El plan Dusk de Gloamport, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic a $5.25 al mes con 12 meses, sirve para ambas.
¿Qué ruta sirve para cada objetivo?
| Ruta | Lo que instala | Quién ve qué | Coste principal |
|---|---|---|---|
| Ruta cliente: torsocks ssh a la dirección del VPS | tor y torsocks en su ordenador | El VPS ve la dirección de un relé Tor, no su dirección de casa; su proveedor de internet solo ve tráfico Tor | Conexiones más lentas; el VPS sigue teniendo un puerto SSH público |
| Ruta onion: SSH como servicio onion | tor en el VPS y en su ordenador | Ningún extremo conoce la dirección IP del otro; el puerto SSH puede cerrarse a internet | Un segundo servicio que mantener en marcha y proteger |
| Ruta onion con autorización de cliente | Lo mismo, más un par de claves x25519 | Solo quien tenga la clave puede siquiera resolver el servicio | Clave que debe guardar |
Rutas tal como se describen en la documentación del Tor Project; vea las fuentes más abajo.
¿Por qué conectarse por SSH a través de Tor?
Lo hace para mantener su propia dirección de red fuera de los registros del servidor. Sin Tor, el servidor ve la dirección desde la que se conecta; a través de Tor ve la dirección de un relé Tor. La ruta no oculta quién es usted ante su VPS: inicia sesión con su clave, que es su identidad allí.
Tor también añade retraso. Una shell a través de Tor es utilizable, pero más lenta que una directa, y una copia de gran volumen es lenta. Use Tor como vía de entrada cuando su dirección directa importe, y mantenga una ruta directa para las transferencias grandes. Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login. Si todavía no ha creado una clave, lea primero ¿Cómo genero una clave SSH para mi VPS?.
¿Cómo me conecto por SSH a un VPS a través de Tor con la ruta de cliente?
No hace falta nada en el VPS. Los comandos son para Debian 13 y Ubuntu 24.04.
Instale Tor y torsocks en su ordenador
Ejecute apt install tor torsocks netcat-openbsd. Tor escucha como proxy SOCKS en 127.0.0.1:9050 por defecto, que es la dirección que torsocks usa sin configuración.
Inicie Tor
Ejecute systemctl enable --now tor y espere a que el servicio termine de arrancar. El registro de Tor en journalctl indica cuándo está listo.
Conéctese con torsocks
Ejecute torsocks ssh y el usuario y la dirección de su VPS. torsocks envía la conexión a través del puerto SOCKS de Tor.
O hágalo permanente en ssh_config
Añada una entrada Host con ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %p. SSH expande %h y %p al nombre de host y al puerto, y nc habla SOCKS5 con Tor.
Compruebe la dirección que ve el servidor
Una vez dentro, ejecute el comando who o last y mire la dirección de origen. Es un relé Tor, no su propia dirección.
sudo apt install tor torsocks netcat-openbsd
sudo systemctl enable --now tor
torsocks ssh root@YOUR_VPS_IP
# ~/.ssh/config alternative
Host gloam-tor
HostName YOUR_VPS_IP
User root
ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %p¿Cómo hago accesible el VPS como servicio onion?
Hágalo mientras su ruta SSH normal siga funcionando. Si cierra antes el puerto 22 y el servicio onion falla, se queda sin shell.
Instale Tor en el VPS
Inicie sesión por SSH normal y ejecute apt install tor.
Añada el servicio oculto al torrc
Añada las líneas HiddenServiceDir y HiddenServicePort al final de /etc/tor/torrc. El manual indica que cada servicio oculto necesita su propio directorio, y que HiddenServicePort asigna un puerto virtual a un destino, por defecto en 127.0.0.1.
Reinicie Tor y lea la dirección
Ejecute systemctl restart tor y luego muestre el archivo hostname dentro de HiddenServiceDir. Contiene su dirección .onion.
Conéctese desde su ordenador
Con Tor en marcha en su ordenador, ejecute torsocks ssh [email protected]. Compare la huella de la clave del host con la que conoce por la ruta normal.
Restrinja quién puede encontrarlo (opcional)
Añada autorización de cliente: ponga un archivo .auth de una línea en authorized_clients/ en el VPS y un archivo .auth_private correspondiente en el ClientOnionAuthDir del cliente, como en la página de autorización de cliente de servicios onion.
Solo entonces cierre el puerto público
Cuando el inicio de sesión onion funcione desde una segunda sesión, restrinja sshd o el cortafuegos para que la dirección pública deje de responder a SSH, si eso es lo que quiere.
# /etc/tor/torrc (append)
HiddenServiceDir /var/lib/tor/ssh_service/
HiddenServicePort 22 127.0.0.1:22
sudo systemctl restart tor
sudo cat /var/lib/tor/ssh_service/hostname
# On your computer
torsocks ssh root@YOUR_ADDRESS.onion# VPS: /var/lib/tor/ssh_service/authorized_clients/alice.auth (one line)
descriptor:x25519:BASE32_PUBLIC_KEY
# Your computer: torrc
ClientOnionAuthDir /var/lib/tor/onion_auth
# Your computer: /var/lib/tor/onion_auth/alice.auth_private (one line)
ONION_ADDRESS_WITHOUT_.onion:descriptor:x25519:BASE32_PRIVATE_KEY¿Cuáles son los límites de SSH a través de Tor?
Los límites son la velocidad, el propio inicio de sesión y el segundo servicio. Primero la velocidad: el circuito añade retraso a cada pulsación. Luego el inicio de sesión: su clave SSH sigue demostrando al VPS quién es usted, así que nunca reutilice una clave en un servidor vinculado a su nombre. Por último, el servicio onion es un segundo programa que parchear; el propio manual de Tor indica que cada servicio oculto necesita un directorio aparte y que el archivo hostname de ese directorio contiene la dirección, así que protéjalo como a una clave.
Tor no evita los errores. Una shell que abre una página web desde su propio navegador, o un archivo que copia por la ruta sin cifrar, sigue vinculándolo al servidor. Para más sobre los propios servicios onion lea ¿Qué es un servicio onion y cómo funciona?.
¿Qué plan de Gloamport necesita para un servicio onion?
Dusk es el plan indicado: 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, $5.25 al mes con el plazo de 12 meses, $10.50 con un único mes. Gloamport lo describe como Una VPN más un relé Tor o un sitio onion. Un servicio onion SSH solo es ligero, así que Ember ($3.74 al mes con el plazo de 12 meses) también sirve; no hemos medido ninguno de los dos.
Según la encuesta de Gloamport sobre 10 de noviembre de 2026, 10 de los 49 proveedores listados publican una dirección onion para su propio sitio. Si además quiere publicar un sitio, vea ¿Cómo alojo un sitio onion en un VPS?, y asegure antes el sistema base con ¿Cómo endurezco SSH en un VPS nuevo?.
Resumen
- Ruta cliente: instale tor y torsocks, y luego ejecute torsocks ssh usuario@vps.
- Tor escucha en el puerto SOCKS 9050 por defecto; ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %p hace lo mismo desde ssh_config.
- Ruta onion: HiddenServiceDir más HiddenServicePort 22 127.0.0.1:22 en el torrc del VPS.
- La dirección .onion está en el archivo hostname de HiddenServiceDir.
- La autorización de cliente usa una línea descriptor:x25519 en authorized_clients/*.auth.
- Cierre el puerto SSH público solo después de que funcione el inicio de sesión onion.
- Dusk, $5.25 al mes con 12 meses, es el plan adecuado.
SSH a través de Tor: preguntas frecuentes
¿SSH a través de Tor oculta mi identidad ante el VPS?
No. Oculta su dirección de red, pero sigue iniciando sesión con su clave y su cuenta. Use una clave aparte para un servidor que no quiera vincular a otros trabajos.
¿Por qué torsocks ssh dice connection refused?
Probablemente Tor no está en marcha o no ha terminado de arrancar. Compruebe el servicio y espere a que esté listo. torsocks usa el puerto SOCKS 127.0.0.1:9050 salvo que configure otro.
¿Puedo usar el panel del VPS si me quedo sin SSH?
Sí, para reinicios y reinstalaciones: Los reinicios y las reinstalaciones se solicitan desde el panel y los realiza el equipo; una reinstalación borra el disco. Una reinstalación borra el disco, así que mantenga una ruta SSH que funcione y una copia de lo que necesite.
¿Dónde se guarda mi dirección onion?
En el archivo hostname dentro de HiddenServiceDir en el VPS, junto con las claves que forman el servicio. Haga copia de ese directorio si quiere conservar la misma dirección.
¿Es más segura la ruta cliente o la ruta onion?
La ruta onion mantiene el puerto SSH fuera de internet público, lo que elimina un objetivo. La ruta cliente no necesita nada instalado en el VPS y es más rápida de probar.
Fuentes (5)
- Manual de Tor: HiddenServiceDir, HiddenServicePort, SocksPort, autorización de cliente 2019.www.torproject.org/docs/tor-manual.html.en — The Tor Project (checked 2026-11-10)
- Servicios onion: configuración community.torproject.org/onion-services/setup — The Tor Project (checked 2026-11-10)
- Servicios onion: autorización de cliente community.torproject.org/onion-services/advanced/client-auth — The Tor Project (checked 2026-11-10)
- Página del manual torsocks(1) — Arch Linux manual pages (checked 2026-11-10)
- Página del manual ssh_config(5): ProxyCommand — OpenBSD / OpenSSH (checked 2026-11-10)