Resposta rápida
Como entro por SSH na minha VPS pelo Tor?
Para entrar por SSH na sua VPS pelo Tor, instale o tor no seu computador e execute torsocks ssh user@your-vps, ou acrescente um serviço onion na VPS com HiddenServicePort 22 127.0.0.1:22 e conecte-se ao nome .onion dele. O plano Dusk da Gloamport, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic a $5.25 por mês no período de 12 meses, serve para as duas formas.
Qual rota serve a cada objetivo?
| Rota | O que você instala | Quem vê o quê | Principal custo |
|---|---|---|---|
| Rota de cliente: torsocks ssh para o endereço da VPS | tor e torsocks no seu computador | A VPS vê um endereço de relay Tor, não o seu endereço residencial; seu provedor de internet vê apenas tráfego Tor | Conexões mais lentas; a VPS ainda tem uma porta SSH pública |
| Rota onion: SSH como serviço onion | tor na VPS e no seu computador | Nenhum dos lados descobre o endereço IP do outro; a porta SSH pode ser fechada para a internet | Mais um serviço para manter rodando e protegido |
| Rota onion com autorização de cliente | Igual, mais um par de chaves x25519 | Somente quem tem a chave consegue resolver o serviço | Chave para fazer backup |
Rotas descritas na documentação do Tor Project; veja as fontes abaixo.
Por que você entraria por SSH pelo Tor?
Você faria isso para manter o seu endereço de rede fora dos registros do servidor. Sem o Tor, o servidor vê o endereço de onde você se conecta; pelo Tor, ele vê o endereço de um relay Tor. A rota não esconde de quem você é para a sua VPS: você faz login com a sua chave, que é a sua identidade ali.
O Tor também acrescenta atraso. Um shell pelo Tor é utilizável, mas mais lento que um direto, e uma cópia de grande volume é lenta. Use o Tor como porta de entrada quando seu endereço direto importar, e mantenha uma rota direta para transferências grandes. Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login. Se você ainda não criou uma chave, leia antes Como gero uma chave SSH para minha VPS?.
Como entro por SSH em uma VPS pelo Tor com a rota de cliente?
Nada é necessário na VPS. Os comandos são para o Debian 13 e o Ubuntu 24.04.
Instale o Tor e o torsocks no seu computador
Execute apt install tor torsocks netcat-openbsd. Por padrão, o Tor escuta como proxy SOCKS em 127.0.0.1:9050, que é o endereço que o torsocks usa sem configuração.
Inicie o Tor
Execute systemctl enable --now tor e aguarde o serviço inicializar. O log do Tor no journalctl mostra quando ele está pronto.
Conecte com o torsocks
Execute torsocks ssh com o usuário e o endereço da sua VPS. O torsocks envia a conexão pela porta SOCKS do Tor.
Ou torne-o permanente no ssh_config
Acrescente uma entrada Host com ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %p. O SSH expande %h e %p para o nome do host e a porta, e o nc fala SOCKS5 com o Tor.
Confira o endereço que o servidor vê
Depois de conectado, execute o comando who ou last e veja o endereço de origem. É um relay Tor, não o seu próprio endereço.
sudo apt install tor torsocks netcat-openbsd
sudo systemctl enable --now tor
torsocks ssh root@YOUR_VPS_IP
# ~/.ssh/config alternative
Host gloam-tor
HostName YOUR_VPS_IP
User root
ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %pComo torno a VPS acessível como serviço onion?
Faça isso enquanto a sua rota SSH normal ainda funciona. Se você fechar a porta 22 antes e o serviço onion falhar, você fica sem shell.
Instale o Tor na VPS
Entre pelo SSH normal e execute apt install tor.
Acrescente o serviço oculto ao torrc
Acrescente linhas HiddenServiceDir e HiddenServicePort a /etc/tor/torrc. O manual diz que cada serviço oculto precisa do seu próprio diretório, e que HiddenServicePort associa uma porta virtual a um destino, por padrão em 127.0.0.1.
Reinicie o Tor e leia o endereço
Execute systemctl restart tor e depois exiba o arquivo hostname dentro do HiddenServiceDir. Ele contém o seu endereço .onion.
Conecte a partir do seu computador
Com o Tor rodando no seu computador, execute torsocks ssh [email protected]. Compare a impressão digital da chave do host com a que você conhece pela rota normal.
Restrinja quem pode encontrá-lo (opcional)
Acrescente autorização de cliente: coloque um arquivo .auth de uma linha em authorized_clients/ na VPS e um arquivo .auth_private correspondente no ClientOnionAuthDir do cliente, como na página de autorização de cliente dos serviços onion.
Só então feche a porta pública
Quando o login onion funcionar a partir de uma segunda sessão, restrinja o sshd ou o firewall para que o endereço público deixe de responder ao SSH, se esse for o seu desejo.
# /etc/tor/torrc (append)
HiddenServiceDir /var/lib/tor/ssh_service/
HiddenServicePort 22 127.0.0.1:22
sudo systemctl restart tor
sudo cat /var/lib/tor/ssh_service/hostname
# On your computer
torsocks ssh root@YOUR_ADDRESS.onion# VPS: /var/lib/tor/ssh_service/authorized_clients/alice.auth (one line)
descriptor:x25519:BASE32_PUBLIC_KEY
# Your computer: torrc
ClientOnionAuthDir /var/lib/tor/onion_auth
# Your computer: /var/lib/tor/onion_auth/alice.auth_private (one line)
ONION_ADDRESS_WITHOUT_.onion:descriptor:x25519:BASE32_PRIVATE_KEYQuais são os limites do SSH pelo Tor?
Os limites são a velocidade, o próprio login e o segundo serviço. Primeiro a velocidade: o circuito acrescenta atraso a cada tecla digitada. Depois o login: sua chave SSH ainda comprova quem você é para a VPS, então nunca reutilize uma chave em um servidor ligado ao seu nome. Por último, o serviço onion é um segundo programa para manter atualizado; o próprio manual do Tor diz que cada serviço oculto precisa de um diretório separado e que o arquivo hostname dele guarda o endereço, então proteja esse diretório como faria com uma chave.
O Tor não evita erros. Um shell que abre uma página web no seu próprio navegador, ou um arquivo que você copia pela rota sem Tor, ainda o liga ao servidor. Para mais sobre os próprios serviços onion, leia O que é um serviço onion e como ele funciona?.
Qual plano da Gloamport você precisa para um serviço onion?
O Dusk é o plano indicado para isso: 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, $5.25 por mês no período de 12 meses, $10.50 no plano de um único mês. A Gloamport o descreve como Uma VPN mais um relay Tor ou um site onion. Um serviço onion de SSH sozinho é leve, então o Ember ($3.74 por mês no período de 12 meses) também funciona; não fizemos testes de desempenho de nenhum dos dois.
Segundo o levantamento da Gloamport sobre 10 de novembro de 2026, 10 dos 49 provedores listados publicam um endereço onion para o próprio site. Se você também quiser publicar um site, veja Como hospedo um site onion em uma VPS?, e proteja primeiro o sistema base com Como reforço o SSH em uma VPS nova?.
Resumo
- Rota de cliente: instale tor e torsocks e depois execute torsocks ssh user@vps.
- O Tor escuta na porta SOCKS 9050 por padrão; ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %p faz o mesmo a partir do ssh_config.
- Rota onion: HiddenServiceDir mais HiddenServicePort 22 127.0.0.1:22 no torrc da VPS.
- O endereço .onion está no arquivo hostname do HiddenServiceDir.
- A autorização de cliente usa uma linha descriptor:x25519 em authorized_clients/*.auth.
- Feche a porta SSH pública somente depois que o login onion funcionar.
- O Dusk, $5.25 por mês no período de 12 meses, é o plano adequado.
SSH pelo Tor: perguntas frequentes
O SSH pelo Tor esconde minha identidade da VPS?
Não. Ele esconde o seu endereço de rede, mas você ainda entra com a sua chave e a sua conta. Use uma chave separada para um servidor que você não queira ligado a outros trabalhos.
Por que o torsocks ssh diz connection refused?
Provavelmente o Tor não está rodando, ou ainda não terminou de inicializar. Verifique o serviço e depois aguarde até que ele esteja pronto. O torsocks usa a porta SOCKS 127.0.0.1:9050, a menos que você configure outra.
Posso usar o painel da VPS se eu me trancar para fora pelo SSH?
Sim, para reinicializações e reinstalações: Reinicializações e reinstalações são pedidas no painel e executadas pela equipe; uma reinstalação apaga o disco. Uma reinstalação apaga o disco, então mantenha uma rota SSH funcionando e uma cópia do que você precisa.
Onde fica guardado o meu endereço onion?
No arquivo hostname dentro do HiddenServiceDir na VPS, junto com as chaves que formam o serviço. Faça backup desse diretório se quiser manter o mesmo endereço.
A rota de cliente ou a rota onion é mais segura?
A rota onion mantém a porta SSH fora da internet pública, o que remove um alvo. A rota de cliente não precisa de nada instalado na VPS e é mais rápida para testar.
Fontes (5)
- Manual do Tor: HiddenServiceDir, HiddenServicePort, SocksPort, autorização de cliente 2019.www.torproject.org/docs/tor-manual.html.en — The Tor Project (checked 2026-11-10)
- Serviços onion: configuração community.torproject.org/onion-services/setup — The Tor Project (checked 2026-11-10)
- Serviços onion: autorização de cliente community.torproject.org/onion-services/advanced/client-auth — The Tor Project (checked 2026-11-10)
- Página do manual torsocks(1) — Arch Linux manual pages (checked 2026-11-10)
- Página do manual ssh_config(5): ProxyCommand — OpenBSD / OpenSSH (checked 2026-11-10)