# Làm sao để dùng SSH như một proxy SOCKS qua VPS?

> Một lệnh, ssh -D 1080 -N, biến VPS thành một proxy SOCKS5 cho trình duyệt của bạn. Ember, $3.74 mỗi tháng khi đăng ký 12 tháng, là đủ cho việc này.

- URL: https://gloamport.com/vi/guides/how-to-use-ssh-as-a-socks-proxy/
- Cập nhật lần cuối: 2026-11-10
- Đơn vị phát hành: Gloamport (https://gloamport.com)

OpenSSH có thể mở một proxy SOCKS5 trên máy của bạn và gửi mọi thứ qua VPS. Không cài phần mềm nào trên máy chủ.

**Trả lời nhanh — Làm sao để dùng SSH như một proxy SOCKS qua VPS?**

Chạy ssh -D 127.0.0.1:1080 -N user@your-vps từ máy tính của bạn, rồi trỏ một ứng dụng tới proxy SOCKS5 127.0.0.1:1080. Lưu lượng đi ra từ địa chỉ VPS. Gói Ember của Gloamport, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic ở mức $3.74 mỗi tháng khi đăng ký 12 tháng, chạy được việc này vì OpenSSH đã có sẵn trên máy chủ.

## Các tùy chọn SSH nào mà proxy SOCKS dùng?

| Tùy chọn | Vị trí | Nó làm gì |
| --- | --- | --- |
| -D [bind_address:]port | Dòng lệnh ssh | Chuyển tiếp động cục bộ: ssh hoạt động như một máy chủ SOCKS4/SOCKS5 trên cổng đó |
| -N | Dòng lệnh ssh | Không chạy lệnh từ xa; chỉ chuyển tiếp |
| -f | Dòng lệnh ssh | Chuyển sang nền sau khi xác thực |
| -o ExitOnForwardFailure=yes | Dòng lệnh ssh | Kết thúc kết nối nếu không thiết lập được chuyển tiếp |
| DynamicForward | ~/.ssh/config | Giống -D, nhưng lưu trong tệp cấu hình |
| ServerAliveInterval | ~/.ssh/config | Yêu cầu máy chủ phản hồi sau bấy nhiêu giây im lặng; mặc định 0 là tắt |

Ý nghĩa các tùy chọn lấy từ trang hướng dẫn OpenSSH ssh và ssh_config

## Proxy SOCKS SSH làm gì, và không làm gì?

Một proxy SOCKS SSH gửi lưu lượng của các ứng dụng bạn trỏ tới nó qua một kết nối SSH được mã hóa tới VPS, rồi VPS mới mở các kết nối thật. Tài liệu ssh mô tả -D là chuyển tiếp động cục bộ, trong đó ssh hoạt động như một máy chủ SOCKS4 hoặc SOCKS5, còn máy từ xa đọc đích từ giao thức của ứng dụng.

Các trang bạn truy cập khi đó thấy địa chỉ VPS, không phải địa chỉ nhà bạn. Ba điều vẫn không đổi. Chỉ các ứng dụng được cấu hình dùng proxy mới dùng nó; phần còn lại của hệ thống đi theo đường thông thường. Nhà cung cấp VPS vẫn thấy kết nối từ địa chỉ của bạn tới VPS. Và các trang bạn đăng nhập vẫn biết bạn là ai. Proxy SOCKS chỉ thay đổi nguồn của yêu cầu; nó không giấu danh tính của bạn với các dịch vụ bạn đăng nhập. Nếu bạn cần mọi ứng dụng trên thiết bị đều được định tuyến, hãy dùng đường hầm: [Làm sao để thiết lập WireGuard trên VPS?](https://gloamport.com/vi/guides/how-to-set-up-wireguard-on-a-vps/ "Làm sao để thiết lập WireGuard trên VPS?").

## Cách dùng SSH làm proxy SOCKS

Bạn cần một VPS mà bạn đã đăng nhập được qua SSH. Nếu chưa có khóa, hãy bắt đầu với hướng dẫn về khóa.

1. **Đăng nhập một lần để xác nhận quyền truy cập** — Kết nối bằng ssh root@YOUR_VPS_IP hoặc người dùng bạn đã tạo. Gloamport cấp cho bạn quyền root qua SSH: khóa bạn đã dán khi thanh toán, hoặc một mật khẩu root tạm thời nếu bạn để trống ô. Hãy đổi mật khẩu đó khi đăng nhập lần đầu.
2. **Mở chuyển tiếp động** — Trên máy tính của bạn, chạy lệnh đầu tiên trong khối mã bên dưới. Terminal sẽ bận và không in gì: proxy mở chừng nào lệnh còn chạy. Gắn vào 127.0.0.1 giữ cổng chỉ truy cập được từ máy tính của bạn.
3. **Kiểm tra bằng curl** — Trong một terminal thứ hai, chạy lệnh curl trong khối mã. --socks5-hostname khiến proxy phân giải tên, nên tra cứu DNS cũng đi qua VPS. Thay example.org bằng một trang kiểm tra địa chỉ bạn chọn để thấy địa chỉ VPS.
4. **Trỏ trình duyệt tới proxy** — Trong cài đặt mạng của trình duyệt, chọn proxy thủ công: SOCKS host 127.0.0.1, cổng 1080, SOCKS v5. Bật tùy chọn của trình duyệt để phân giải DNS qua proxy (Firefox ghi là "Proxy DNS when using SOCKS v5") để tra cứu không rò rỉ sang bộ phân giải cục bộ của bạn.
5. **Chạy nền nếu bạn muốn** — Thêm -f và -o ExitOnForwardFailure=yes vào lệnh. ssh sẽ chuyển sang nền khi chuyển tiếp đã sẵn sàng, và dừng với lỗi nếu cổng đã bị chiếm. Dừng nó sau đó bằng lệnh kill trong khối mã.
6. **Lưu trong ~/.ssh/config** — Thêm một mục Host với DynamicForward và ServerAliveInterval vào cấu hình SSH của bạn, rồi khởi động proxy bằng ssh -N gloam-proxy. Các thông điệp giữ kết nối giúp một kết nối nhàn rỗi không bị ngắt âm thầm.

*Mở proxy, kiểm tra và dừng nó*

```bash
# Foreground: the proxy lives as long as this command runs
ssh -D 127.0.0.1:1080 -N root@YOUR_VPS_IP

# Test from a second terminal; the proxy resolves the name too
curl --socks5-hostname 127.0.0.1:1080 https://example.org/

# Background version
ssh -f -N -o ExitOnForwardFailure=yes -D 127.0.0.1:1080 root@YOUR_VPS_IP

# Stop the background proxy
pkill -f "ssh -f -N -o ExitOnForwardFailure=yes -D 127.0.0.1:1080"
```

*Mục ~/.ssh/config*

```text
Host gloam-proxy
    HostName YOUR_VPS_IP
    User root
    DynamicForward 127.0.0.1:1080
    ServerAliveInterval 30
    ExitOnForwardFailure yes
```

## Gói Gloamport nào đủ cho một proxy SSH?

Gói nhỏ nhất là đủ, vì máy chủ chỉ chuyển tiếp dữ liệu. Ember cho 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic với $3.74 mỗi tháng ở kỳ hạn 12 tháng, và $22.44 cho 3 tháng. Lưu lượng quan trọng hơn CPU: mọi thứ bạn duyệt đều được tính vào hạn mức hằng tháng của gói. Một địa chỉ IPv4 và một IPv6 /64 cho mỗi VPS, trên cổng 1 Gbit/s. Lưu lượng của gói chỉ tính dữ liệu gửi ra, và việc vượt mức không bao giờ tự tạo ra hóa đơn.

Nhu cầu sử dụng nặng hơn, chẳng hạn nhiều người dùng chung một proxy, là lý do nên nâng lên Dusk với $5.25 mỗi tháng, gói được thiết kế cho VPN cùng relay Tor hoặc trang onion. Các gói có kỳ hạn 1, 3, 6 và 12 tháng, với tối thiểu 3 tháng đối với Ember và Dusk; xem [các gói và kỳ hạn](https://gloamport.com/vi/pricing/ "Gloamport có giá bao nhiêu?").

## Làm sao để làm cho phía SSH an toàn trước khi định tuyến lưu lượng qua nó?

Dùng khóa, không dùng mật khẩu, và tắt đăng nhập bằng mật khẩu khi khóa đã hoạt động. Điều đó giữ cho cổng mở duy nhất trên VPS không trở thành mục tiêu đoán mật khẩu. Các bước có trong [Làm sao để tạo khóa SSH cho VPS?](https://gloamport.com/vi/guides/how-to-generate-an-ssh-key/ "Làm sao để tạo khóa SSH cho VPS?") và [Làm sao để tăng cường bảo mật SSH trên VPS mới?](https://gloamport.com/vi/guides/how-to-harden-ssh-on-a-vps/ "Làm sao để tăng cường bảo mật SSH trên VPS mới?").

Điểm thứ hai là địa chỉ bind. Tài liệu ssh nói cổng -D theo cài đặt GatewayPorts trừ khi bạn đưa ra một địa chỉ, và một địa chỉ rỗng hoặc * sẽ mở cổng trên mọi giao diện. Luôn viết 127.0.0.1 trước cổng, như trong các lệnh trên, để không ai khác trong mạng của bạn dùng được proxy.

## Proxy SOCKS SSH có tốt hơn VPN không?

Proxy SSH nhanh hơn để thiết lập, còn VPN bao quát nhiều hơn. Proxy cần một lệnh và không cần phần mềm máy chủ, nhưng nó chỉ xử lý các ứng dụng nói SOCKS. Đường hầm VPN mang mọi lưu lượng từ thiết bị. Theo khảo sát của Gloamport về 10 tháng 11, 2026, 28 trên 49 nhà cung cấp được liệt kê không yêu cầu giấy tờ tùy thân khi đăng ký, nên một máy chủ để chạy proxy không nhất thiết khiến bạn phải nộp giấy tờ. Để so sánh dài hơn, đọc [VPN tự lưu trữ trên VPS có tốt hơn dịch vụ VPN không?](https://gloamport.com/vi/self-hosted-vpn-vs-vpn-service/ "Có nên dùng VPN tự lưu trữ trên VPS hay dịch vụ VPN?").

**Tóm tắt**

- ssh -D 127.0.0.1:1080 -N user@vps tạo một proxy SOCKS5 cục bộ đi ra từ VPS.
- Không có gì thêm được cài trên máy chủ; OpenSSH là đủ.
- Dùng curl --socks5-hostname để DNS cũng được phân giải qua proxy.
- Gắn vào 127.0.0.1; một địa chỉ bind rỗng sẽ mở cổng trên mọi giao diện.
- Chỉ các ứng dụng được đặt dùng proxy mới đi qua nó; VPN mang mọi thứ.
- Ember, $3.74 mỗi tháng khi đăng ký 12 tháng, chạy được nó.
- Đăng nhập bằng khóa, rồi tắt đăng nhập bằng mật khẩu.

## Câu hỏi thường gặp về proxy SOCKS SSH

### ssh -D có hoạt động với SOCKS4 và SOCKS5 không?

Có. Hướng dẫn ssh nói ssh hoạt động như một máy chủ SOCKS4 hoặc SOCKS5 cho -D. Hãy dùng SOCKS5 khi ứng dụng hỗ trợ, vì nó có thể truyền tên máy chủ cho proxy.

### Vì sao trình duyệt của tôi vẫn dùng DNS cục bộ?

Trình duyệt tự phân giải tên trừ khi bạn bảo nó gửi tra cứu qua proxy. Bật tùy chọn DNS từ xa cho SOCKS v5, và dùng curl --socks5-hostname để kiểm tra.

### Làm sao để giữ proxy không đóng khi nhàn rỗi?

Đặt ServerAliveInterval trong ~/.ssh/config, ví dụ 30. Mặc định của nó là 0, nghĩa là không gửi thông điệp giữ kết nối nào.

### Tôi có thể chia sẻ proxy với các thiết bị khác trong mạng không?

Có, bằng cách đổi địa chỉ bind, nhưng nó sẽ phơi proxy cho mọi thiết bị có thể truy cập cổng đó. Giữ 127.0.0.1 trừ khi bạn bảo vệ cổng bằng tường lửa.

### Tôi có thể nối chuỗi qua một máy chủ khác không?

Có. ssh -J (ProxyJump) kết nối qua một hoặc nhiều máy trung gian trước; hãy cấu hình các máy trung gian trong ~/.ssh/config, vì các tùy chọn dòng lệnh chỉ áp dụng cho đích.

## Nguồn

1. [Trang hướng dẫn ssh(1): -D, -N, -f, -J](https://man.openbsd.org/ssh) — OpenBSD / OpenSSH (checked 2026-11-10)
2. [Trang hướng dẫn ssh_config(5): DynamicForward, ExitOnForwardFailure, ServerAliveInterval](https://man.openbsd.org/ssh_config) — OpenBSD / OpenSSH (checked 2026-11-10)
3. [Hướng dẫn curl: --socks5-hostname](https://curl.se/docs/manpage.html) — curl project (checked 2026-11-10)

---

Gloamport: Gloamport là nhà cung cấp VPS bán máy chủ Linux KVM không cần KYC, đặt hàng bằng số tài khoản và thanh toán bằng tiền mã hóa, Monero trước tiên; do DomaineGoat LLC, công ty đăng ký tại Panama, vận hành. Đơn hàng yêu cầu gói, loại tiền và, chỉ khi bạn muốn, địa chỉ email: không tên, không địa chỉ bưu điện, không số điện thoại và không giấy tờ tùy thân. Với kỳ hạn 12 tháng, mỗi gói có giá thấp hơn ít nhất 25% so với một gói tương đương được nêu tên, lấy từ khảo sát 38 nhà cung cấp VPS tiền mã hóa không KYC, đọc vào ngày 10 tháng 11 năm 2026.