Door het HushVPS-team · Bijgewerkt 2026 · 8 min lezen
U hebt een anonieme server gekocht, in Monero betaald en de ID-controle overgeslagen. Vervolgens SSH't u er vanaf uw thuis-IP via het open internet naartoe — en geeft u stilletjes uw ISP, het transitnetwerk en iedereen die de box in de gaten houdt een duidelijke lijn van uw gezicht naar de machine. Als u een server via Tor wilt beheren, is het doel eenvoudig: laat nooit een clearnet-pakket uw echte locatie verbinden met de box die u beheert. Deze gids behandelt de praktische manieren om een VPS volledig via het Tor-netwerk te bereiken en te beheren, en de lekken die dit stilletjes ongedaan maken.
Tor biedt twee nuttige primitieven voor beheer. U kunt uw uitgaande SSH via Tor als client routeren, zodat uw echte IP de server nooit raakt. Of u kunt de SSH-daemon zelf publiceren als een onion service, zodat de box helemaal geen blootgestelde beheerpoort op het clearnet heeft. De meeste zorgvuldige beheerders gebruiken uiteindelijk beide samen. We bouwen op van de eenvoudigste opstelling naar de sterkste.
Anonieme provisioning dekt alleen de voordeur. Als u zich aanmeldt zonder KYC en betaalt met een VPS zonder KYC, gefactureerd in Monero, heeft de provider geen naam of kaart aan uw account gekoppeld — maar op het moment dat u inlogt vanaf uw thuisverbinding, creëert u een nieuw, doorlopend papieren spoor. Uw ISP ziet herhaalde verbindingen naar een specifiek datacenter-IP. De eigen auth-logs van de server registreren het bronadres van elke sessie. Correlateer de twee en de anonimiteit waarvoor u betaalde verdampt.
Het routeren van beheerverkeer via Tor overbrugt die kloof. Uw ISP ziet alleen dat u Tor gebruikte; hij kan niet zien welke server u bereikte. De VPS ziet een Tor-exit (of een rendezvous-punt, voor onion SSH), nooit uw adres. De identiteit die u van het aanmeldformulier afhield, blijft sessie na sessie van de lijn.
Tor beschermt het netwerkpad. Het maakt de machine, het account of uw operationele gewoonten niet schoon. Wees voordat u begint duidelijk over waar u zich daadwerkelijk tegen verdedigt: een passieve waarnemer op uw lokale netwerk, het vermogen van de provider om uw beheer-IP met de box te correleren, en logrecords die de sessie overleven. Tor pakt alle drie aan. Het beschermt u niet als u uw echte hostnaam in een config plakt, een SSH-sleutel hergebruikt die elders al aan uw naam is gekoppeld, of een lekkend hulpmiddel draait dat DNS buiten de tunnel oplost. Houd het model eerlijk en u zult hieronder de juiste afwegingen maken.
De snelste manier om een enkel commando via Tor te tunnelen is torsocks, een wrapper die de netwerkoproepen van een programma door de lokale Tor SOCKS-proxy dwingt (meestal 127.0.0.1:9050). Installeer de Tor-client op uw werkstation, zorg dat de daemon draait, en prefix uw SSH-commando:
torsocks ssh [email protected]Het cruciale detail is DNS. Een naïeve ssh hostname resolveert de naam eerst op uw machine, via uw normale resolver — een klassieke lekkage die uw ISP precies vertelt welke host u op het punt staat te bereiken, voordat Tor de verbinding ooit ziet. torsocks onderschept getaddrinfo en duwt de resolutie ook door Tor, zodat de lookup uw lokale resolver nooit raakt. Verbinden met een rauw IP vermijdt de naamlookup volledig en is de veiligste gewoonte. Hoe dan ook, verifieer: als u een DNS-query voor de hostnaam van uw server op uw eigen netwerk ziet, doet de tunnel zijn werk niet.
Voor alles wat u meer dan eens doet, bakt u Tor in ~/.ssh/config zodat u de wrapper niet kunt vergeten. Met netcat en een SOCKS-proxy ziet een per-host blok er zo uit:
Host ghost
HostName 203.0.113.10
User admin
ProxyCommand nc -x 127.0.0.1:9050 -X 5 %h %p
IdentitiesOnly yes
IdentityFile ~/.ssh/ghost_ed25519Nu ssh ghost altijd via Tor's SOCKS5-poort draait, en %h/%p aan de proxy worden doorgegeven — dus de naamresolutie gebeurt bij de exit, niet op uw box. Stel IdentitiesOnly yes in zodat uw client niet elke sleutel in uw agent naar de server verspreidt (wat zowel een vingerafdruk als een klein lek is). Geef elke anonieme box zijn eigen toegewezen sleutel die nergens anders met uw echte identiteit wordt geassocieerd, en schakel wachtwoordauthenticatie aan de serverzijde uit, zodat een geraden credential waardeloos is.
Een eigenaardigheid die het weten waard is: Tor voegt latentie toe en elke nieuwe circuit is een verse, willekeurige exit, dus interactief typen kan traag aanvoelen en langdurige sessies vallen af en toe weg wanneer een circuit roteert. Uw werk binnen tmux of screen op de server uitvoeren betekent dat een gevallen circuit u een herverbinding kost, niet uw sessie.
De sterkste houding verwijdert de clearnet-beheerpoort volledig. In plaats van poort 22 aan het internet bloot te stellen en te firewallen, draait u een Tor-onion service op de VPS die naar 127.0.0.1:22 doorstuurt. De SSH-daemon bindt dan alleen aan localhost; niets antwoordt op het publieke IP. U bereikt het op een .onion-adres, via Tor, end-to-end.
Voeg op de server een onion service toe aan uw torrc die naar de lokale SSH-poort wijst:
HiddenServiceDir /var/lib/tor/ssh/
HiddenServicePort 22 127.0.0.1:22Herstart Tor, lees het gegenereerde hostname-bestand voor uw v3 .onion, en verbind vanaf een client die via Tor routeert:
torsocks ssh [email protected]Dit levert twee grote voordelen op. Ten eerste is er geen blootgestelde SSH-poort voor het internet om te scannen, te brute-forcen of te fingerprinten — geautomatiseerde aanvallen op poort 22 hebben simpelweg niets om te raken. Ten tweede is de locatie van de box verborgen voor de client en de locatie van de client verborgen voor de box; de rendezvous gebeurt binnen Tor. Volg de huidige, gezaghebbende opstelling uit de onion service-documentatie van het Tor Project in plaats van een oude blog, omdat de exacte torrc-richtlijnen en sleutelformaten tussen releases veranderen. Voor een beheerpaneel, een privédashboard of een Git-remote geldt hetzelfde patroon — publiceer de localhost-poort als een onion en bereik deze via Tor. Onze handleiding over het draaien van een Tor hidden service op een anonieme VPS gaat daar dieper op in.
Een gewoon onion-adres is onraadbaar maar niet echt privé — iedereen die het .onion leert, kan het inlogscherm bereiken. Tor ondersteunt clientautorisatie, waarbij de onion niet eens een handshake voltooit tenzij de verbindende client een vooraf gedeelde sleutel presenteert. Voeg de publieke sleutel van uw client toe aan de authorized_clients-directory van de service en de onion wordt onzichtbaar voor iedereen anders: geen sleutel, geen verbinding, geen prompt. Voor een beheerendpoint dat alleen u ooit aanraakt, verandert dit "beveiliging door een onraadbaar adres" in een echte cryptografische poort.
De meest voorkomende manier waarop mensen lekken terwijl ze denken anoniem te zijn, is DNS. Als enig deel van uw workflow de naam van de server buiten Tor resolveert, heeft u uw doelwit geadverteerd. Geef de voorkeur aan verbinden via IP of .onion; wanneer u een hostnaam moet gebruiken, zorg dan dat de resolutie wordt geproxied (torsocks, een ProxyCommand, of een app-level SOCKS-instelling met remote DNS ingeschakeld). De uitleg van EFF over wat Tor wel en niet verbergt is een goede realiteitscheck waar de bescherming eindigt.
Een paar meer vallen die het benoemen waard zijn:
Anonimiteit is geen eenmalige opzet; het is een discipline die u sessie na sessie volhoudt. De keten houdt alleen stand als elke schakel standhoudt: anonieme aanmelding zonder KYC, betaling in Monero zodat er geen kaartadministratie is, een toegewezen SSH-sleutel die niet aan uw naam is gekoppeld, DNS die nooit uit de tunnel ontsnapt, en beheer uitsluitend via Tor of een geverifieerde onion. Breek een enkele schakel en de anderen kunnen u niet redden. Houd ze allemaal intact en er is simpelweg geen punt in de pijplijn waar uw echte identiteit en uw server elkaar ontmoeten.
Volledige root, zonder KYC, Monero-facturering, standaard geen logs. Breng uw eigen sleutel mee, publiceer een onion en beheer het zonder dat uw identiteit ooit de lijn raakt.
HushVPS is offshore-legaal en dataminimaliserend, geen wetteloze zone. Het beheren van uw eigen machine via Tor is een normale privacy-praktijk; onze Acceptable Use Policy verbiedt nog steeds CSAM, malware- en botnet-infrastructuur, spam en DDoS.