概要
TorでVPSにSSHするには？
TorでVPSにSSHするには、コンピュータにtorをインストールして torsocks ssh user@your-vps を実行するか、VPSにHiddenServicePort 22 127.0.0.1:22 のオニオンサービスを追加して、その .onion 名に接続します。GloamportのDuskプラン（1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic）は、12か月契約で月額$5.25で、どちらにも適しています。
目的に合うルートはどれですか？
| ルート | インストールするもの | 誰が何を見るか | 主なコスト |
|---|---|---|---|
| クライアントのルート：torsocksでVPSのアドレスにSSH | コンピュータにtorとtorsocks | VPSは自宅のアドレスではなくTorリレーのアドレスを見ます。ISPはTorのトラフィックだけを見ます | 接続が遅くなります。VPSには引き続き公開のSSHポートがあります |
| オニオンのルート：SSHをオニオンサービスとして | VPSとコンピュータの両方にtor | どちらも相手のIPアドレスを知りません。SSHポートはインターネットから閉じられます | 維持して保護する必要がある、もう1つのサービス |
| クライアント認証付きのオニオンルート | 同じ。加えてx25519の鍵ペア | 鍵を持つ人だけがサービスを解決できます | バックアップする鍵 |
Torプロジェクトのドキュメントに記載されたルート。出典は下をご覧ください。
なぜTorでSSHするのですか？
サーバーの記録に自分のネットワークアドレスを残さないためです。Torを使わなければ、サーバーは接続元のアドレスを見ます。Tor経由では、Torリレーのアドレスを見ます。このルートは、VPSに対してご自身が誰であるかを隠すわけではありません。鍵でログインするため、それがそこでのご本人の身元になります。
Torは遅延も加えます。Torを経由したシェルは使えますが、直接接続より遅く、大きなコピーは遅くなります。直接のアドレスが重要なときにTorを入口として使い、大きな転送には直接のルートを残してください。Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login。まだ鍵を作っていなければ、先にVPS用のSSH鍵を生成するには？をお読みください。
クライアントのルートでTorを経由してVPSにSSHするには？
VPS側では何も必要ありません。コマンドはDebian 13とUbuntu 24.04向けです。
コンピュータにTorとtorsocksをインストール
apt install tor torsocks netcat-openbsd を実行します。Torは既定で 127.0.0.1:9050 にSOCKSプロキシとして待ち受けます。これはtorsocksが設定なしで使うアドレスです。
Torを起動
systemctl enable --now tor を実行し、サービスの起動が完了するまで待ちます。journalctl のTorのログに、準備完了のタイミングが表示されます。
torsocksで接続
torsocks ssh と VPSのユーザーとアドレスを実行します。torsocks は接続をTorのSOCKSポートに送ります。
または、ssh_config に恒久的に設定する
Hostエントリを追加し、ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %p を設定します。SSHは %h と %p をホスト名とポートに展開し、ncがTorに対してSOCKS5で話しかけます。
サーバーに見えるアドレスを確認する
ログインした後、who コマンドまたは last を実行し、送信元のアドレスを確認してください。それはご自身のアドレスではなく、Torリレーのアドレスです。
sudo apt install tor torsocks netcat-openbsd
sudo systemctl enable --now tor
torsocks ssh root@YOUR_VPS_IP
# ~/.ssh/config alternative
Host gloam-tor
HostName YOUR_VPS_IP
User root
ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %pVPSをオニオンサービスとして到達可能にするには？
通常のSSHの経路がまだ動いている間に行ってください。先にポート22を閉じてオニオンサービスが動かなければ、シェルがなくなります。
VPSにTorをインストール
通常のSSHでログインし、apt install tor を実行します。
torrcに隠しサービスを追加
/etc/tor/torrc に HiddenServiceDir と HiddenServicePort の行を追加します。マニュアルによると、各隠しサービスには専用のディレクトリが必要で、HiddenServicePort は仮想ポートを、既定では127.0.0.1上の宛先に対応付けます。
Torを再起動してアドレスを読む
systemctl restart tor を実行し、HiddenServiceDir 内の hostname ファイルを cat で表示します。そこに .onion アドレスが書かれています。
ご自身のコンピュータから接続する
ご自身のコンピュータでTorを動かした状態で、torsocks ssh [email protected] を実行します。ホスト鍵のフィンガープリントを、通常の経路で知っているものと比べてください。
誰が見つけられるかを制限する（任意）
クライアント認証を追加します。VPSの authorized_clients/ に1行の .auth ファイルを置き、クライアントの ClientOnionAuthDir に対応する .auth_private ファイルを置きます。オニオンサービスのクライアント認証のページの手順どおりです。
その後にだけ、公開ポートを閉じる
別のセッションでオニオンのログインが動いたら、必要に応じてsshdまたはファイアウォールを制限し、公開アドレスがSSHに応答しないようにしてください。
# /etc/tor/torrc (append)
HiddenServiceDir /var/lib/tor/ssh_service/
HiddenServicePort 22 127.0.0.1:22
sudo systemctl restart tor
sudo cat /var/lib/tor/ssh_service/hostname
# On your computer
torsocks ssh root@YOUR_ADDRESS.onion# VPS: /var/lib/tor/ssh_service/authorized_clients/alice.auth (one line)
descriptor:x25519:BASE32_PUBLIC_KEY
# Your computer: torrc
ClientOnionAuthDir /var/lib/tor/onion_auth
# Your computer: /var/lib/tor/onion_auth/alice.auth_private (one line)
ONION_ADDRESS_WITHOUT_.onion:descriptor:x25519:BASE32_PRIVATE_KEYTorでSSHする際の限界は？
限界は、速度、ログインそのもの、そして2つ目のサービスです。まず速度：回線はキーストロークごとに遅延を加えます。次にログイン：SSH鍵はVPSに対して依然としてご自身が誰であるかを証明するため、ご自身の名前に結び付いたサーバーには同じ鍵を再利用しないでください。最後に、オニオンサービスはパッチを当てる2つ目のプログラムです。Tor自身のマニュアルは、各隠しサービスには別々のディレクトリが必要で、その中のhostnameファイルがアドレスを持つと述べているので、そのディレクトリは鍵と同じように守ってください。
Torは誤りを防ぎません。ご自身のブラウザーでWebページを開くシェル、または平文のルートでコピーしたファイルは、それでもサーバーにご自身を結び付けます。オニオンサービスそのものについては、オニオンサービスとは何か、どう動くのか？をお読みください。
オニオンサービスにはどのGloamportプランが必要ですか？
そのためのプランとして挙げられているのはDuskです：1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic、12か月契約で月額$5.25、1か月契約では$10.50。Gloamportはこれを「VPNに加えて、Torリレーまたはオニオンサイト」と説明しています。SSHのオニオンサービスだけなら軽量なので、Ember（12か月契約で月額$3.74）でも動きます。どちらもベンチマークは行っていません。
Gloamportが2026年11月10日について行った調査によると、挙げられた49件のプロバイダーのうち、10件が自社サイトのオニオンアドレスを公開しています。ご自身のサイトも公開したい場合は、VPSでオニオンサイトをホストするには？をご覧ください。まず基本システムを守るには、新しいVPSでSSHを強化するには？をご覧ください。
まとめ
- クライアントのルート：tor と torsocks をインストールし、torsocks ssh user@vps を実行します。
- Torは既定でSOCKSポート9050で待ち受けます。ssh_configからは ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %p で同じことができます。
- オニオンのルート：VPSのtorrcに HiddenServiceDir と HiddenServicePort 22 127.0.0.1:22 を書きます。
- .onionアドレスは、HiddenServiceDir の hostname ファイルにあります。
- クライアント認証は、authorized_clients/*.auth 内の descriptor:x25519 の行を使います。
- オニオンのログインが動いてから初めて、公開のSSHポートを閉じてください。
- Duskは12か月契約で月額$5.25で、対応するプランです。
TorでのSSH：よくある質問
TorでSSHすると、VPSからご自身の身元は隠れますか？
いいえ。隠れるのはネットワークのアドレスだけで、鍵とアカウントでのサインインは残ります。他の作業と結び付けたくないサーバーには、別の鍵を使ってください。
torsocks ssh で connection refused と表示されるのはなぜですか？
Torが動いていないか、起動の完了を待てていない可能性があります。サービスを確認し、準備完了になるまで待ってください。別の設定をしない限り、torsocks は SOCKS ポート 127.0.0.1:9050 を使います。
SSHをロックアウトした場合、VPSのダッシュボードを使えますか？
再起動と再インストールには使えます。再起動と再インストールは、ダッシュボードから依頼し、チームが実施します。再インストールではディスクの内容が消去されます。再インストールはディスクを消去するため、動くSSHの経路と必要なもののコピーを残しておいてください。
私のオニオンアドレスはどこに保存されていますか？
VPS上の HiddenServiceDir 内の hostname ファイルに、サービスを構成する鍵と一緒に保存されています。同じアドレスを保ちたい場合は、そのディレクトリをバックアップしてください。
クライアントのルートとオニオンのルートのどちらが安全ですか？
オニオンのルートは、SSHポートをインターネットから外すため、標的を1つ減らします。クライアントのルートはVPSに何もインストールする必要がなく、試すのも早いです。
出典 (5)
- Torマニュアル：HiddenServiceDir、HiddenServicePort、SocksPort、クライアント認証 2019.www.torproject.org/docs/tor-manual.html.en — The Tor Project (checked 2026-11-10)
- オニオンサービス：設定 community.torproject.org/onion-services/setup — The Tor Project (checked 2026-11-10)
- オニオンサービス：クライアント認証 community.torproject.org/onion-services/advanced/client-auth — The Tor Project (checked 2026-11-10)
- torsocks(1)マニュアルページ — Arch Linux manual pages (checked 2026-11-10)
- ssh_config(5)マニュアルページ：ProxyCommand — OpenBSD / OpenSSH (checked 2026-11-10)