Respuesta rápida
¿Cómo uso SSH como proxy SOCKS a través de mi VPS?
Ejecute ssh -D 127.0.0.1:1080 -N usuario@su-vps desde su ordenador y luego apunte una aplicación al proxy SOCKS5 127.0.0.1:1080. El tráfico sale por la dirección del VPS. Un plan Ember de Gloamport, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic a $3.74 al mes con el plazo de 12 meses, lo soporta, porque OpenSSH ya está en el servidor.
¿Qué opciones de SSH usa un proxy SOCKS?
| Opción | Dónde | Qué hace |
|---|---|---|
| -D [bind_address:]port | línea de comandos de ssh | Reenvío dinámico local: ssh actúa como servidor SOCKS4/SOCKS5 en ese puerto |
| -N | línea de comandos de ssh | No ejecuta un comando remoto; solo reenvía |
| -f | línea de comandos de ssh | Pasa a segundo plano tras la autenticación |
| -o ExitOnForwardFailure=yes | línea de comandos de ssh | Finaliza la conexión si no se puede establecer el reenvío |
| DynamicForward | ~/.ssh/config | Igual que -D, guardado en el archivo de configuración |
| ServerAliveInterval | ~/.ssh/config | Pide al servidor una respuesta tras este número de segundos sin actividad; el valor por defecto 0 lo desactiva |
Significado de las opciones según las páginas del manual de OpenSSH ssh y ssh_config.
¿Qué hace un proxy SOCKS de SSH y qué no hace?
Un proxy SOCKS de SSH envía el tráfico de las aplicaciones que se le indiquen a través de una conexión SSH cifrada con su VPS, que luego abre las conexiones reales. El manual de ssh describe -D como reenvío dinámico local, en el que ssh actúa como servidor SOCKS4 o SOCKS5, y la máquina remota lee el destino del protocolo de la aplicación.
Los sitios que visita verán entonces la dirección del VPS, no su dirección de casa. Tres cosas siguen igual. Solo las aplicaciones configuradas para el proxy lo usan; el resto de su sistema sale de la forma habitual. Su proveedor de VPS puede ver la conexión desde su dirección hasta el VPS. Y los sitios en los que inicia sesión siguen sabiendo quién es usted. Un proxy SOCKS cambia el origen de las peticiones; no oculta su identidad ante los servicios en los que inicia sesión. Si necesita enrutar todas las aplicaciones de un dispositivo, use un túnel en su lugar: ¿Cómo configuro WireGuard en un VPS?.
Cómo usar SSH como proxy SOCKS
Necesita un VPS al que ya pueda acceder por SSH. Si todavía no tiene clave, empiece por la guía de claves.
Inicie sesión una vez para confirmar el acceso
Conéctese con ssh root@SU_IP_DEL_VPS o con el usuario que creó. Gloamport le entrega root por SSH: la clave que pegó al hacer el pedido, o una contraseña temporal de root si dejó el campo vacío. Cambie esa contraseña en el primer inicio de sesión.
Abra el reenvío dinámico
En su propio ordenador, ejecute el primer comando del bloque de código de abajo. La terminal quedará ocupada y no imprimirá nada: el proxy está abierto mientras se ejecute. Vincular a 127.0.0.1 hace que el puerto solo sea accesible desde su ordenador.
Pruébelo con curl
En una segunda terminal, ejecute el comando curl del bloque de código. --socks5-hostname hace que el proxy resuelva el nombre, así que las búsquedas DNS también pasan por el VPS. Sustituya example.org por una página de comprobación de direcciones de su elección para ver la dirección del VPS.
Apunte su navegador al proxy
En la configuración de red del navegador elija un proxy manual: host SOCKS 127.0.0.1, puerto 1080, SOCKS v5. Active la opción del navegador para resolver DNS a través del proxy (Firefox la llama "Proxy DNS when using SOCKS v5") para que las búsquedas no se filtren a su resolutor local.
Ejecútelo en segundo plano si lo desea
Añada -f y -o ExitOnForwardFailure=yes al comando. ssh pasa entonces a segundo plano una vez que el reenvío está activo, y se detiene con un error si el puerto está ocupado. Deténgalo después con el comando kill del bloque de código.
Guárdelo en ~/.ssh/config
Ponga una entrada Host con DynamicForward y ServerAliveInterval en su configuración de SSH, y luego inicie el proxy con ssh -N gloam-proxy. Los mensajes de actividad evitan que una conexión inactiva se cierre sin avisar.
# Foreground: the proxy lives as long as this command runs
ssh -D 127.0.0.1:1080 -N root@YOUR_VPS_IP
# Test from a second terminal; the proxy resolves the name too
curl --socks5-hostname 127.0.0.1:1080 https://example.org/
# Background version
ssh -f -N -o ExitOnForwardFailure=yes -D 127.0.0.1:1080 root@YOUR_VPS_IP
# Stop the background proxy
pkill -f "ssh -f -N -o ExitOnForwardFailure=yes -D 127.0.0.1:1080"Host gloam-proxy
HostName YOUR_VPS_IP
User root
DynamicForward 127.0.0.1:1080
ServerAliveInterval 30
ExitOnForwardFailure yes¿Qué plan de Gloamport basta para un proxy SSH?
El plan más pequeño basta, ya que el servidor solo retransmite bytes. Ember da 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic por $3.74 al mes con el plazo de 12 meses, y $22.44 por 3 meses. La cifra de tráfico importa más que la CPU: todo lo que navegas cuenta contra la cuota mensual del plan. Una dirección IPv4 y un /64 IPv6 por VPS, en un puerto de 1 Gbit/s. El tráfico de un plan cuenta solo los datos salientes, y superarlo nunca genera por sí solo una factura.
Un uso más intenso, como varias personas compartiendo un proxy, es motivo para pasar a Dusk a $5.25 al mes, que está dimensionado para Una VPN más un relé Tor o un sitio onion. Los planes vienen en plazos de 1, 3, 6 y 12 meses, con 3 meses como mínimo para Ember y Dusk; ver los planes y plazos.
¿Cómo asegura el lado SSH antes de enrutar tráfico por él?
Use una clave, no una contraseña, y desactive los inicios de sesión con contraseña cuando la clave funcione. Así el único puerto abierto de su VPS no será un objetivo de adivinación. Los pasos están en ¿Cómo genero una clave SSH para mi VPS? y ¿Cómo endurezco SSH en un VPS nuevo?.
Un segundo punto es la dirección de enlace. El manual de ssh indica que un puerto -D sigue la configuración de GatewayPorts salvo que indique una dirección, y que una dirección vacía o * expone el puerto en todas las interfaces. Escriba siempre 127.0.0.1 delante del puerto, como en los comandos de arriba, para que nadie más de su red pueda usar su proxy.
¿Es mejor un proxy SOCKS de SSH que una VPN?
Un proxy SSH se configura más rápido y una VPN cubre más. El proxy necesita un solo comando y ningún software de servidor, pero solo maneja las aplicaciones que hablan SOCKS. Un túnel VPN transporta todo el tráfico del dispositivo. Según la encuesta de Gloamport sobre 10 de noviembre de 2026, 28 de los 49 proveedores listados no piden documento de identidad al registrarse, así que un servidor donde ejecutar un proxy no tiene por qué costarle sus documentos. Para una comparación más larga lea ¿Es mejor una VPN autoalojada en un VPS que un servicio de VPN?.
Resumen
- ssh -D 127.0.0.1:1080 -N usuario@vps crea un proxy SOCKS5 local que sale desde el VPS.
- No se instala nada extra en el servidor; OpenSSH basta.
- Use curl --socks5-hostname para que el DNS también se resuelva a través del proxy.
- Vincule a 127.0.0.1; una dirección de enlace vacía expone el puerto en todas las interfaces.
- Solo las aplicaciones configuradas para usar el proxy pasan por él; una VPN lo transporta todo.
- Ember, $3.74 al mes con 12 meses, lo ejecuta.
- Inicie sesión con una clave y luego desactive los inicios de sesión con contraseña.
Proxy SOCKS de SSH: preguntas frecuentes
¿ssh -D funciona con SOCKS4 y SOCKS5?
Sí. El manual de ssh indica que ssh actúa como servidor SOCKS4 o SOCKS5 para -D. Use SOCKS5 cuando la aplicación lo ofrezca, porque puede pasar nombres de host al proxy.
¿Por qué mi navegador sigue usando mi DNS local?
El navegador resuelve los nombres por sí mismo salvo que le indique que envíe las búsquedas por el proxy. Active la opción de DNS remoto para SOCKS v5, y use curl --socks5-hostname para las pruebas.
¿Cómo evito que el proxy se cierre cuando está inactivo?
Defina ServerAliveInterval en ~/.ssh/config, por ejemplo 30. Su valor por defecto es 0, que no envía ningún mensaje de actividad.
¿Puedo compartir el proxy con otros dispositivos de mi red?
Puede cambiando la dirección de enlace, pero así el proxy queda expuesto a todo dispositivo que pueda alcanzar ese puerto. Mantenga 127.0.0.1 salvo que proteja el puerto con un cortafuegos.
¿Puedo encadenarlo a través de otro host?
Sí. ssh -J (ProxyJump) se conecta primero a través de uno o más hosts de salto; configure los hosts de salto en ~/.ssh/config, porque las opciones de la línea de comandos se aplican solo al destino.
Fuentes (3)
- Página del manual ssh(1): -D, -N, -f, -J — OpenBSD / OpenSSH (checked 2026-11-10)
- Página del manual ssh_config(5): DynamicForward, ExitOnForwardFailure, ServerAliveInterval — OpenBSD / OpenSSH (checked 2026-11-10)
- Manual de curl: --socks5-hostname — curl project (checked 2026-11-10)