Krótka odpowiedź
Jak połączyć się przez SSH z VPS przez Tor?
Aby połączyć się przez SSH z VPS przez Tor, zainstalować tor na komputerze i uruchomić torsocks ssh user@adres-vps, albo dodać usługę onion na VPS z HiddenServicePort 22 127.0.0.1:22 i połączyć się z jej nazwą .onion. Plan Dusk Gloamport, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic przy $5.25 miesięcznie w 12-miesięcznym okresie, pasuje do obu.
Która ścieżka pasuje do którego celu?
| Ścieżka | Co się instaluje | Kto co widzi | Główny koszt |
|---|---|---|---|
| Ścieżka klienta: torsocks ssh na adres VPS | tor i torsocks na komputerze | VPS widzi adres przekaźnika Tor, a nie adres domowy; dostawca internetu widzi tylko ruch Tora | Wolniejsze połączenia; VPS nadal ma publiczny port SSH |
| Ścieżka onion: SSH jako usługa onion | tor na VPS i na komputerze | Żadna ze stron nie poznaje adresu IP drugiej; port SSH może być zamknięty dla internetu | Drugi element do utrzymania i zabezpieczenia |
| Ścieżka onion z autoryzacją klienta | To samo, plus para kluczy x25519 | Tylko posiadacze klucza mogą w ogóle rozwiązać usługę | Klucz do zachowania |
Ścieżki opisane zgodnie z dokumentacją Tor Project; źródła poniżej.
Po co łączyć się przez SSH przez Tor?
Robi się to, aby własny adres sieciowy nie trafiał do rejestrów serwera. Bez Tora serwer widzi adres, z którego się łączymy; przez Tora widzi adres przekaźnika Tor. Ta ścieżka nie ukrywa przed VPS, kim się jest: loguje się kluczem, który jest tam tożsamością.
Tor dodaje też opóźnienie. Powłoka przez Tora jest użyteczna, ale wolniejsza niż bezpośrednia, a duże kopiowanie jest powolne. Traktować Tor jako wejście wtedy, gdy własny bezpośredni adres ma znaczenie, i zachować bezpośrednią ścieżkę do dużych transferów. Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login. Jeśli nie ma jeszcze klucza, najpierw przeczytać Jak wygenerować klucz SSH dla VPS?.
Jak połączyć się z VPS przez SSH przez Tor ścieżką klienta?
Po stronie VPS nic nie jest potrzebne. Polecenia są przeznaczone dla Debiana 13 i Ubuntu 24.04.
Instalacja Tora i torsocks na komputerze
Uruchomić apt install tor torsocks netcat-openbsd. Tor domyślnie nasłuchuje jako proxy SOCKS na 127.0.0.1:9050, czyli adres, którego torsocks używa bez konfiguracji.
Uruchomienie Tora
Uruchomić systemctl enable --now tor i poczekać, aż usługa się zainicjuje. Dziennik Tora w journalctl pokazuje, kiedy jest gotowy.
Połączenie przez torsocks
Uruchomić torsocks ssh z użytkownikiem i adresem VPS. torsocks wysyła połączenie przez port SOCKS Tora.
Albo ustawić to na stałe w ssh_config
Dodać wpis Host z ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %p. SSH rozwija %h i %p do nazwy hosta i portu, a nc mówi do Tora w SOCKS5.
Sprawdzić adres, który widzi serwer
Po zalogowaniu uruchomić polecenie who lub last i spojrzeć na adres źródłowy. To przekaźnik Tor, a nie własny adres.
sudo apt install tor torsocks netcat-openbsd
sudo systemctl enable --now tor
torsocks ssh root@YOUR_VPS_IP
# ~/.ssh/config alternative
Host gloam-tor
HostName YOUR_VPS_IP
User root
ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %pJak udostępnić VPS jako usługę onion?
Zrobić to, dopóki normalna ścieżka SSH działa. Jeśli najpierw zamknie się port 22, a usługa onion zawiedzie, nie będzie się miało powłoki.
Instalacja Tora na VPS
Zalogować się zwykłym SSH i wykonać apt install tor.
Dodanie ukrytej usługi do torrc
Dopisać linie HiddenServiceDir i HiddenServicePort do /etc/tor/torrc. Podręcznik mówi, że każda ukryta usługa potrzebuje własnego katalogu, a HiddenServicePort mapuje port wirtualny na cel, domyślnie na 127.0.0.1.
Restart Tora i odczytanie adresu
Uruchomić systemctl restart tor, a następnie wyświetlić plik hostname w HiddenServiceDir poleceniem cat. Zawiera on adres .onion.
Połączenie z komputera
Gdy Tor działa na komputerze, uruchomić torsocks ssh [email protected]. Porównać odcisk klucza hosta z tym znanym z normalnej ścieżki.
Ograniczenie, kto może ją znaleźć (opcjonalnie)
Dodać autoryzację klienta: umieścić jednowierszowy plik .auth w authorized_clients/ na VPS oraz pasujący plik .auth_private w ClientOnionAuthDir po stronie klienta, zgodnie ze stroną o autoryzacji klienta usług onion.
Dopiero wtedy zamknąć publiczny port
Gdy logowanie onion działa z drugiej sesji, ograniczyć sshd lub zaporę, tak aby publiczny adres nie odpowiadał już na SSH, jeśli o to chodzi.
# /etc/tor/torrc (append)
HiddenServiceDir /var/lib/tor/ssh_service/
HiddenServicePort 22 127.0.0.1:22
sudo systemctl restart tor
sudo cat /var/lib/tor/ssh_service/hostname
# On your computer
torsocks ssh root@YOUR_ADDRESS.onion# VPS: /var/lib/tor/ssh_service/authorized_clients/alice.auth (one line)
descriptor:x25519:BASE32_PUBLIC_KEY
# Your computer: torrc
ClientOnionAuthDir /var/lib/tor/onion_auth
# Your computer: /var/lib/tor/onion_auth/alice.auth_private (one line)
ONION_ADDRESS_WITHOUT_.onion:descriptor:x25519:BASE32_PRIVATE_KEYJakie są ograniczenia SSH przez Tor?
Ograniczenia dotyczą szybkości, samego logowania i drugiej usługi. Najpierw szybkość: obwód dodaje opóźnienie do każdego naciśnięcia klawisza. Potem logowanie: klucz SSH nadal dowodzi VPS, kim się jest, więc nigdy nie używać tego samego klucza na serwerze powiązanym z własnym nazwiskiem. Na koniec usługa onion to drugi program do łatania; podręcznik Tora mówi, że każda ukryta usługa potrzebuje osobnego katalogu, a plik hostname w nim zawiera adres, więc ten katalog chroni się jak klucz.
Tor nie zapobiega błędom. Powłoka, która otwiera stronę w przeglądarce na własnym komputerze, albo plik kopiowany zwykłą drogą nadal wiążą z serwerem. Więcej o samych usługach onion znajduje się w Czym jest usługa onion i jak działa?.
Którego planu Gloamport potrzeba dla usługi onion?
Dusk jest planem wskazanym dla niej: 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, $5.25 miesięcznie w 12-miesięcznym okresie, $10.50 przy jednym miesiącu. Gloamport opisuje go jako VPN plus przekaźnik Tor lub strona onion. Sama usługa SSH onion jest lekka, więc Ember ($3.74 miesięcznie w 12-miesięcznym okresie) również działa; żadnego z nich nie testowaliśmy.
Według ankiety Gloamport dotyczącej 10 listopada 2026, 10 z 49 wymienionych dostawców publikuje adres onion dla własnej witryny. Jeśli chce się też opublikować witrynę, zobacz Jak postawić witrynę onion na VPS?, a najpierw zabezpieczyć system według Jak zabezpieczyć SSH na nowym VPS?.
Podsumowanie
- Ścieżka klienta: zainstalować tor i torsocks, a następnie uruchomić torsocks ssh user@vps.
- Tor domyślnie nasłuchuje na porcie SOCKS 9050; ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %p robi to samo z ssh_config.
- Ścieżka onion: HiddenServiceDir plus HiddenServicePort 22 127.0.0.1:22 w torrc na VPS.
- Adres .onion znajduje się w pliku hostname w HiddenServiceDir.
- Autoryzacja klienta używa linii descriptor:x25519 w authorized_clients/*.auth.
- Zamknąć publiczny port SSH dopiero po tym, jak logowanie onion działa.
- Dusk, $5.25 miesięcznie przy 12 miesiącach, to pasujący plan.
SSH przez Tor: najczęstsze pytania
Czy SSH przez Tor ukrywa moją tożsamość przed VPS?
Nie. Ukrywa adres sieciowy, ale nadal loguje się kluczem i własnym kontem. Do serwera, z którym nie chce się wiązać innej działalności, używać osobnego klucza.
Dlaczego torsocks ssh zgłasza connection refused?
Prawdopodobnie Tor nie działa albo nie zakończył jeszcze inicjalizacji. Sprawdzić usługę i poczekać, aż będzie gotowa. torsocks używa portu SOCKS 127.0.0.1:9050, chyba że skonfigurowano inny.
Czy można użyć panelu VPS, jeśli zablokuje się SSH?
Tak, do restartów i reinstalacji: Restarty i ponowne instalacje zgłasza się w panelu, a wykonuje je zespół; ponowna instalacja kasuje dysk. Reinstalacja czyści dysk, więc trzeba zachować działającą ścieżkę SSH i kopię tego, czego się potrzebuje.
Gdzie przechowywany jest mój adres onion?
W pliku hostname w HiddenServiceDir na VPS, razem z kluczami, które tworzą usługę. Jeśli chce się zachować ten sam adres, wykonać kopię zapasową tego katalogu.
Czy ścieżka klienta, czy ścieżka onion jest bezpieczniejsza?
Ścieżka onion trzyma port SSH poza publicznym internetem, co usuwa jeden cel ataku. Ścieżka klienta nie wymaga instalacji niczego na VPS i jest szybsza do wypróbowania.
Źródła (5)
- Podręcznik Tora: HiddenServiceDir, HiddenServicePort, SocksPort, autoryzacja klienta 2019.www.torproject.org/docs/tor-manual.html.en — The Tor Project (checked 2026-11-10)
- Usługi onion: konfiguracja community.torproject.org/onion-services/setup — The Tor Project (checked 2026-11-10)
- Usługi onion: autoryzacja klienta community.torproject.org/onion-services/advanced/client-auth — The Tor Project (checked 2026-11-10)
- Strona podręcznika torsocks(1) — Arch Linux manual pages (checked 2026-11-10)
- Strona podręcznika ssh_config(5): ProxyCommand — OpenBSD / OpenSSH (checked 2026-11-10)