# Làm sao để SSH vào VPS qua Tor?

> Truy cập VPS qua Tor theo hai cách: torsocks ssh tới địa chỉ của nó, hoặc một dịch vụ onion trên cổng 22. Dusk là $5.25 mỗi tháng khi đăng ký 12 tháng.

- URL: https://gloamport.com/vi/guides/how-to-ssh-into-a-vps-over-tor/
- Cập nhật lần cuối: 2026-11-10
- Đơn vị phát hành: Gloamport (https://gloamport.com)

Có hai cách dùng Tor với SSH: kết nối tới VPS qua Tor, hoặc làm cho VPS truy cập được như một dịch vụ onion. Hướng dẫn này trình bày cả hai, cùng giới hạn của mỗi cách.

**Trả lời nhanh — Làm sao để SSH vào VPS qua Tor?**

Để SSH vào VPS qua Tor, cài tor trên máy tính của bạn và chạy torsocks ssh user@your-vps, hoặc thêm một dịch vụ onion trên VPS với HiddenServicePort 22 127.0.0.1:22 rồi kết nối tới tên .onion của nó. Gói Dusk của Gloamport, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic ở mức $5.25 mỗi tháng khi đăng ký 12 tháng, phù hợp với cả hai.

## Cách nào phù hợp với mục tiêu nào?

| Cách | Bạn cài gì | Ai thấy gì | Chi phí chính |
| --- | --- | --- | --- |
| Cách client: torsocks ssh tới địa chỉ VPS | tor và torsocks trên máy tính của bạn | VPS thấy địa chỉ relay Tor, không phải địa chỉ nhà bạn; nhà mạng chỉ thấy lưu lượng Tor | Kết nối chậm hơn; VPS vẫn có cổng SSH công khai |
| Cách onion: SSH như một dịch vụ onion | tor trên VPS và trên máy tính của bạn | Không bên nào biết được địa chỉ IP của bên kia; cổng SSH có thể đóng với internet | Một thứ thứ hai cần chạy và bảo mật |
| Cách onion với xác thực client | Giống vậy, cộng thêm một cặp khóa x25519 | Chỉ người giữ khóa mới có thể phân giải dịch vụ | Khóa cần sao lưu |

Các cách như mô tả trong tài liệu Tor Project; xem các nguồn bên dưới.

## Vì sao bạn lại SSH qua Tor?

Bạn làm vậy để giữ địa chỉ mạng của mình khỏi hồ sơ của máy chủ. Không có Tor, máy chủ thấy địa chỉ bạn kết nối từ; qua Tor, nó thấy địa chỉ của một relay Tor. Cách này không che giấu bạn là ai với VPS: bạn đăng nhập bằng khóa của mình, và đó chính là danh tính của bạn ở đó.

Tor cũng thêm độ trễ. Một shell qua Tor vẫn dùng được nhưng chậm hơn kết nối trực tiếp, và sao chép dữ liệu lớn sẽ chậm. Hãy coi Tor là lối vào khi địa chỉ trực tiếp của bạn quan trọng, và giữ một đường trực tiếp cho các lần truyền lớn. Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login. Nếu bạn chưa có khóa, hãy đọc [Làm sao để tạo khóa SSH cho VPS?](https://gloamport.com/vi/guides/how-to-generate-an-ssh-key/ "Làm sao để tạo khóa SSH cho VPS?") trước.

## Làm sao để SSH vào VPS qua Tor bằng cách client?

Không cần gì trên VPS. Các lệnh dành cho Debian 13 và Ubuntu 24.04.

1. **Cài Tor và torsocks trên máy tính của bạn** — Chạy apt install tor torsocks netcat-openbsd. Tor lắng nghe như một proxy SOCKS trên 127.0.0.1:9050 theo mặc định, đó là địa chỉ torsocks dùng mà không cần cấu hình.
2. **Khởi động Tor** — Chạy systemctl enable --now tor và chờ dịch vụ khởi tạo xong. Nhật ký Tor trong journalctl cho biết khi nào nó sẵn sàng.
3. **Kết nối bằng torsocks** — Chạy torsocks ssh cùng tên người dùng và địa chỉ VPS của bạn. torsocks gửi kết nối qua cổng SOCKS của Tor.
4. **Hoặc làm cho nó cố định trong ssh_config** — Thêm một mục Host với ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %p. SSH thay %h và %p bằng tên máy chủ và cổng, còn nc nói SOCKS5 với Tor.
5. **Kiểm tra địa chỉ mà máy chủ thấy** — Sau khi đăng nhập, chạy lệnh who hoặc last, rồi xem địa chỉ nguồn. Đó là một relay Tor, không phải địa chỉ của chính bạn.

*Cách client*

```bash
sudo apt install tor torsocks netcat-openbsd
sudo systemctl enable --now tor

torsocks ssh root@YOUR_VPS_IP

# ~/.ssh/config alternative
Host gloam-tor
    HostName YOUR_VPS_IP
    User root
    ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %p
```

## Làm sao để VPS truy cập được như một dịch vụ onion?

Làm việc này khi đường SSH thông thường của bạn vẫn hoạt động. Nếu bạn đóng cổng 22 trước mà dịch vụ onion lỗi, bạn sẽ không còn shell.

1. **Cài Tor trên VPS** — Đăng nhập qua SSH thông thường và chạy apt install tor.
2. **Thêm dịch vụ ẩn vào torrc** — Thêm các dòng HiddenServiceDir và HiddenServicePort vào /etc/tor/torrc. Hướng dẫn nói mỗi dịch vụ ẩn cần thư mục riêng, còn HiddenServicePort ánh xạ một cổng ảo tới một đích, mặc định là 127.0.0.1.
3. **Khởi động lại Tor và đọc địa chỉ** — Chạy systemctl restart tor, rồi cat tệp hostname bên trong HiddenServiceDir. Nó chứa địa chỉ .onion của bạn.
4. **Kết nối từ máy tính của bạn** — Khi Tor đang chạy trên máy tính của bạn, chạy torsocks ssh user@ADDRESS.onion. So sánh dấu vân tay khóa máy chủ với dấu vân tay bạn đã biết từ đường thông thường.
5. **Hạn chế ai có thể tìm thấy nó (tùy chọn)** — Thêm xác thực client: đặt một tệp .auth một dòng trong authorized_clients/ trên VPS và một tệp .auth_private khớp trong ClientOnionAuthDir của client, như trong trang xác thực client của onion-services.
6. **Chỉ đóng cổng công khai sau đó** — Khi đăng nhập onion hoạt động từ một phiên thứ hai, hãy giới hạn sshd hoặc tường lửa để địa chỉ công khai không còn trả lời SSH, nếu đó là điều bạn muốn.

*Đường onion: torrc trên VPS và lần đăng nhập đầu tiên*

```bash
# /etc/tor/torrc (append)
HiddenServiceDir /var/lib/tor/ssh_service/
HiddenServicePort 22 127.0.0.1:22

sudo systemctl restart tor
sudo cat /var/lib/tor/ssh_service/hostname

# On your computer
torsocks ssh root@YOUR_ADDRESS.onion
```

*Xác thực client tùy chọn (định dạng từ Tor Project)*

```text
# VPS: /var/lib/tor/ssh_service/authorized_clients/alice.auth  (one line)
descriptor:x25519:BASE32_PUBLIC_KEY

# Your computer: torrc
ClientOnionAuthDir /var/lib/tor/onion_auth

# Your computer: /var/lib/tor/onion_auth/alice.auth_private  (one line)
ONION_ADDRESS_WITHOUT_.onion:descriptor:x25519:BASE32_PRIVATE_KEY
```

## Giới hạn của SSH qua Tor là gì?

Giới hạn nằm ở tốc độ, chính việc đăng nhập và dịch vụ thứ hai. Trước hết là tốc độ: mạch thêm độ trễ cho mỗi lần gõ phím. Tiếp theo là đăng nhập: khóa SSH của bạn vẫn chứng minh bạn là ai với VPS, nên đừng bao giờ dùng lại một khóa cho máy chủ gắn với tên bạn. Cuối cùng, dịch vụ onion là một chương trình thứ hai cần vá; chính tài liệu Tor nói mỗi dịch vụ ẩn cần một thư mục riêng và tệp hostname trong đó chứa địa chỉ, nên hãy bảo vệ thư mục đó như bảo vệ một khóa.

Tor không ngăn được sai lầm. Một shell mở một trang web từ trình duyệt của chính bạn, hoặc một tệp bạn sao chép qua một đường không được bảo vệ, vẫn liên kết bạn với máy chủ. Muốn tìm hiểu thêm về chính dịch vụ onion, đọc [Dịch vụ onion là gì, và nó hoạt động thế nào?](https://gloamport.com/vi/what-is-an-onion-service/ "Dịch vụ onion là gì, và nó hoạt động thế nào?").

## Cần gói Gloamport nào cho dịch vụ onion?

Dusk là gói được liệt kê cho việc này: 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, $5.25 mỗi tháng khi đăng ký 12 tháng, $10.50 khi thuê một tháng. Gloamport mô tả nó là VPN cùng relay Tor hoặc trang onion. Riêng một dịch vụ onion SSH thì khá nhẹ, nên Ember ($3.74 mỗi tháng khi đăng ký 12 tháng) cũng chạy được; chúng tôi chưa benchmark cả hai.

Theo khảo sát của Gloamport về 10 tháng 11, 2026, 10 trên 49 nhà cung cấp được liệt kê công bố một địa chỉ onion cho trang riêng của họ. Nếu bạn cũng muốn công bố một trang, xem [Làm sao để lưu trữ một trang onion trên VPS?](https://gloamport.com/vi/guides/how-to-host-an-onion-site/ "Làm sao để lưu trữ một trang onion trên VPS?"), và khóa hệ thống nền trước bằng [Làm sao để tăng cường bảo mật SSH trên VPS mới?](https://gloamport.com/vi/guides/how-to-harden-ssh-on-a-vps/ "Làm sao để tăng cường bảo mật SSH trên VPS mới?").

**Tóm tắt**

- Đường client: cài tor và torsocks, rồi chạy torsocks ssh user@vps.
- Tor lắng nghe trên cổng SOCKS 9050 theo mặc định; ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %p làm điều tương tự từ ssh_config.
- Đường onion: HiddenServiceDir cộng HiddenServicePort 22 127.0.0.1:22 trong torrc của VPS.
- Địa chỉ .onion nằm trong tệp hostname của HiddenServiceDir.
- Xác thực client dùng một dòng descriptor:x25519 trong authorized_clients/*.auth.
- Chỉ đóng cổng SSH công khai sau khi đăng nhập onion hoạt động.
- Dusk, $5.25 mỗi tháng khi đăng ký 12 tháng, là gói phù hợp.

## SSH qua Tor: các câu hỏi thường gặp

### SSH qua Tor có giấu danh tính của tôi khỏi VPS không?

Không. Nó giấu địa chỉ mạng của bạn, nhưng bạn vẫn đăng nhập bằng khóa và tài khoản của mình. Hãy dùng một khóa riêng cho máy chủ mà bạn không muốn gắn với công việc khác.

### Vì sao torsocks ssh báo connection refused?

Có lẽ Tor chưa chạy, hoặc chưa khởi tạo xong. Kiểm tra dịch vụ, rồi chờ đến khi nó sẵn sàng. torsocks dùng cổng SOCKS 127.0.0.1:9050 trừ khi bạn cấu hình khác.

### Tôi có thể dùng bảng điều khiển VPS nếu bị khóa SSH không?

Có, cho việc khởi động lại và cài lại: Khởi động lại và cài đặt lại được yêu cầu từ bảng điều khiển và do nhóm thực hiện; cài đặt lại sẽ xóa đĩa. Cài lại sẽ xóa sạch đĩa, nên hãy giữ một đường SSH hoạt động và một bản sao những gì bạn cần.

### Địa chỉ onion của tôi được lưu ở đâu?

Trong tệp hostname bên trong HiddenServiceDir trên VPS, cùng với các khóa tạo nên dịch vụ. Hãy sao lưu thư mục đó nếu bạn muốn giữ nguyên địa chỉ.

### Đường client hay đường onion an toàn hơn?

Đường onion giữ cổng SSH khỏi internet công khai, điều này loại bỏ một mục tiêu. Đường client không cần cài gì trên VPS và nhanh hơn để thử.

## Nguồn

1. [Hướng dẫn Tor: HiddenServiceDir, HiddenServicePort, SocksPort, xác thực client](https://2019.www.torproject.org/docs/tor-manual.html.en) — The Tor Project (checked 2026-11-10)
2. [Dịch vụ onion: thiết lập](https://community.torproject.org/onion-services/setup/) — The Tor Project (checked 2026-11-10)
3. [Dịch vụ onion: xác thực client](https://community.torproject.org/onion-services/advanced/client-auth/) — The Tor Project (checked 2026-11-10)
4. [Trang hướng dẫn torsocks(1)](https://man.archlinux.org/man/torsocks.1) — Arch Linux manual pages (checked 2026-11-10)
5. [Trang hướng dẫn ssh_config(5): ProxyCommand](https://man.openbsd.org/ssh_config) — OpenBSD / OpenSSH (checked 2026-11-10)

---

Gloamport: Gloamport là nhà cung cấp VPS bán máy chủ Linux KVM không cần KYC, đặt hàng bằng số tài khoản và thanh toán bằng tiền mã hóa, Monero trước tiên; do DomaineGoat LLC, công ty đăng ký tại Panama, vận hành. Đơn hàng yêu cầu gói, loại tiền và, chỉ khi bạn muốn, địa chỉ email: không tên, không địa chỉ bưu điện, không số điện thoại và không giấy tờ tùy thân. Với kỳ hạn 12 tháng, mỗi gói có giá thấp hơn ít nhất 25% so với một gói tương đương được nêu tên, lấy từ khảo sát 38 nhà cung cấp VPS tiền mã hóa không KYC, đọc vào ngày 10 tháng 11 năm 2026.