Dịch vụ onion là gì, và nó hoạt động thế nào?

Dịch vụ onion là gì?

Dịch vụ onion là một dịch vụ, chẳng hạn một trang web, chỉ có thể truy cập qua mạng Tor. Các trang hỗ trợ của Dự án Tor nói rằng nó che vị trí và địa chỉ IP của dịch vụ, khiến việc kiểm duyệt hoặc truy vết đến người vận hành khó hơn. Dịch vụ onion trước đây được gọi là dịch vụ ẩn (hidden services).

Địa chỉ là danh tính của dịch vụ. Dự án Tor mô tả địa chỉ onion là khóa công khai nhận dạng của dịch vụ, đó là lý do nó trông ngẫu nhiên. Địa chỉ phiên bản 3 gồm 56 chữ cái và chữ số theo sau là .onion; các địa chỉ phiên bản 2 cũ hơn, 16 ký tự, không còn hoạt động trên mạng Tor.

Một kết nối đến dịch vụ onion hoạt động thế nào?

Client và dịch vụ onion không bao giờ kết nối trực tiếp: chúng gặp nhau tại một relay mà cả hai đều đến được qua Tor. Dự án Tor mô tả năm bước.

1. Điểm giới thiệu. Dịch vụ chọn nhiều relay, dựng các mạch ba chặng dài hạn đến chúng và yêu cầu chúng làm điểm giới thiệu.
2. Mô tả. Dịch vụ viết một mô tả liệt kê các điểm giới thiệu và khóa của nó, ký bằng khóa riêng đứng sau địa chỉ của nó, rồi tải lên một bảng băm phân tán bên trong mạng Tor.
3. Tra cứu. Client lấy mô tả theo địa chỉ và kiểm tra chữ ký với khóa công khai chính là địa chỉ.
4. Điểm hẹn. Client dựng một mạch đến một relay tự chọn, điểm hẹn, và đưa cho nó một bí mật dùng một lần. Client gửi thông tin của mình đến dịch vụ qua một điểm giới thiệu.
5. Gặp nhau. Dịch vụ kết nối đến điểm hẹn qua mạch riêng của mình và trình bí mật. Điểm hẹn chuyển tiếp lưu lượng được mã hóa đầu cuối giữa hai bên.

Kết nối đầy đủ gồm sáu relay: ba relay do client chọn, kết thúc tại điểm hẹn, và ba relay do dịch vụ chọn. Dự án Tor nói rằng địa chỉ IP của dịch vụ được bảo vệ và IP không hề được dùng trong giao thức.

Vì sao một địa chỉ onion là đủ mà không cần HTTPS?

Một địa chỉ onion đã đủ vì bản thân địa chỉ là một kiểm tra mật mã. Trang hỗ trợ của Dự án Tor nói rằng mọi lưu lượng giữa người dùng Tor và dịch vụ onion đều được mã hóa đầu cuối, và địa chỉ dùng mật mã để xác nhận bạn đã đến đúng dịch vụ và không có gì bị thay đổi trên đường đi. Một số trang onion vẫn dùng HTTPS, mà Tor Browser hiển thị trên thanh địa chỉ.

Vì dịch vụ chỉ thực hiện kết nối đi, nó cũng không cần cổng mở trên host của mình: nó xuyên qua NAT. Một máy chủ nằm sau tường lửa chặn kết nối vào vẫn có thể công bố một dịch vụ onion.

Có bao nhiêu host VPS công bố địa chỉ onion?

Rất ít host. Theo khảo sát của Gloamport về 10 tháng 11, 2026, 10 trên 42 host đang hoạt động công bố một địa chỉ .onion chính thức cho trang của chính họ: Njalla, FlokiNET, Privex, PrivateAlps, Servury, Servers.Guru, MyNymBox, NiceVPS, Kyun và DarkVPS. Khảo sát chỉ đếm các địa chỉ do chính host công bố.

Địa chỉ onion của một host bảo vệ kết nối đến trang web và trang thanh toán của host. Đó là một câu hỏi khác với việc bạn có thể chạy một dịch vụ onion của riêng mình trên một trong các máy chủ của họ, đó là nội dung của phần tiếp theo. Với các tiêu chí khác làm cho một host phù hợp với nhu cầu riêng tư, đọc Điều gì làm nên một VPS đề cao quyền riêng tư?.

Làm thế nào để chạy một dịch vụ onion trên VPS?

Bạn cài Tor trên máy chủ và thêm hai dòng vào cấu hình của nó. Trang thiết lập của Dự án Tor đưa ra các dòng đó cho một máy chủ web trên cổng 80:

HiddenServiceDir /var/lib/tor/my-website/
HiddenServicePort 80 127.0.0.1:80

Dịch vụ onion không bảo vệ điều gì?

Dịch vụ onion không bảo vệ nội dung của một máy chủ cấu hình kém. Trang thiết lập của Dự án Tor yêu cầu người vận hành cấu hình máy chủ web sao cho không làm lộ địa chỉ IP của máy chủ hoặc các chi tiết nhận dạng khác.

Nó cũng không thay đổi cách bạn thanh toán cho máy chủ. Monero giữ khoản thanh toán khỏi hồ sơ công khai, nhưng không giữ khỏi tài khoản của bạn: Gloamport vẫn liên kết các đơn hàng, địa chỉ IP của VPS và mã giao dịch bạn khai báo với số tài khoản của mình. Về phía thanh toán, đọc KYC trong hosting VPS là gì, và vì sao host yêu cầu giấy tờ tùy thân?.