托管 .onion 网站，VPS 却不暴露行踪

洋葱服务从这套体系里拿掉了什么#

中继、网桥、出口、洋葱服务：四种不同的角色#

泄密的几乎从来都不是 Tor#

先想清楚：服务器的物理位置是不是秘密？#

分步操作#

1. 选服务器，并决定这台机器上还能放什么

   洋葱服务运行起来很便宜。Tor 本身在不承担中继任务时几乎不怎么占用 CPU，真正的负载来自你的站点本身原本就会产生的那部分开销，所以配置要按应用来定，而不是按 Tor 来定。一个静态站点或者一个小型自建应用，用 1 vCPU、2 GB 内存就很轻松；如果涉及数据库或某种语言运行时，就给它 2 vCPU、4 GB。放到我们的档位里，对应的是 Cub（1 vCPU、2 GB 内存、40 GB，$5/月）或者 Scout（2 vCPU、4 GB、70 GB，$9/月），两者都是全 NVMe，1 Gbps 流量不限量。

   真正要紧的决定，不是选哪个档位。而是上一节里讲的那个决定：如果这台机器的位置本该保密，它就该只做一件事，而且仅此一件。上面不能有别的站点，任何地方都不能有指向它地址的 DNS 记录，不发邮件，也不能有别的任何东西在监听。在一台你已经在付费的机器上“再顺手加一样东西”的诱惑，正是关联性泄露最常见的产生方式。

   付款方式也要与之匹配。这里的账户只需要一个用于接收凭据的邮箱地址，仅此而已，结账在链上完成 — Monero 使用指南和无卡购买指南会从零开始讲清楚整个流程。从一个最小化的 Debian 或 Ubuntu 镜像开始；下面的每一条命令都假定你在 Debian 12 或更新版本上，以 root 身份操作。

2. 从 Tor 项目自己的软件源安装 Tor

   要用 Tor 项目自己的软件源，而不是发行版自带的软件包。发行版打包的版本总是滞后，而这篇指南里用到的两个设置 — 介绍点限速器和工作量证明防御 — 只存在于比较新的版本里。

   apt update && apt install -y apt-transport-https curl gpg lsb-release
   
   curl -s https://deb.torproject.org/torproject.org/A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89.asc \
     | gpg --dearmor | tee /usr/share/keyrings/deb.torproject.org-keyring.gpg >/dev/null
   
   echo "deb [signed-by=/usr/share/keyrings/deb.torproject.org-keyring.gpg] \
   https://deb.torproject.org/torproject.org $(lsb_release -cs) main" \
     > /etc/apt/sources.list.d/tor.list
   
   apt update && apt install -y tor deb.torproject.org-keyring
   tor --version

   deb.torproject.org-keyring 这个包会让签名密钥保持最新，所以这项工作只需要做一次，不会在一年后就失效。0.4.8 及以上的任何版本，都具备下文用到的全部选项。

   暂时先别配置任何东西。此时的 Tor 是作为客户端在运行，这已经足够满足后面验证步骤的需要。

3. 把网页服务器绑定在回环接口，别的地方都不要绑

   这一步是最常被跳过、也最常把整件事搞砸的一步。网页服务器必须只能从机器自身访问到，别的任何地方都不行。先安装 nginx，然后写一个只绑定回环接口的虚拟主机：

   # /etc/nginx/sites-available/onion
   server {
       listen 127.0.0.1:8080;
       server_name _;
       server_tokens off;
       root /var/www/onion;
       index index.html;
       access_log off;
   }

   server_tokens off 会把版本号从 Server 响应头和错误页面里去掉。把访问日志关掉是一个刻意的选择，而不是偷懒：每一个经由 Tor 而来的请求，看起来都来自 127.0.0.1，所以日志里记不下任何关于访客的有用信息，却会留下一大堆更适合不留底的东西。

   接下来，再加一个在公网地址上应答、但什么都不肯说的兜底配置。nginx 的 444 会直接关闭连接、不给任何响应，这是对扫描器能给出的最安静的答复：

   # /etc/nginx/sites-available/deny-direct
   server {
       listen 80 default_server;
       listen [::]:80 default_server;
       return 444;
   }

   把两者都启用，删掉自带的默认站点，然后确认一下实际在监听的都有什么：

   rm -f /etc/nginx/sites-enabled/default
   ln -s /etc/nginx/sites-available/onion /etc/nginx/sites-enabled/
   ln -s /etc/nginx/sites-available/deny-direct /etc/nginx/sites-enabled/
   mkdir -p /var/www/onion && echo 'it works' > /var/www/onion/index.html
   nginx -t && systemctl reload nginx
   ss -ltnp

   仔细看 ss 的输出。绑定在 0.0.0.0 或 :: 上的条目，应该只有你打算保留的那一个 — SSH，如果你选择运行 444 兜底配置，那也算一个。其余的一切都应该只绑定在 127.0.0.1 上。如果你托管的应用自带监听器，也要检查一下它；不少框架默认就监听所有接口，而且完全不会主动提示这一点。

4. 在 torrc 里声明这个洋葱服务

   三行配置就能建出这个服务。把它们加进 /etc/tor/torrc，同时加上另外两条防御设置，这两条设置现在顺手开启，要比等出事了再开容易得多：

   # /etc/tor/torrc
   HiddenServiceDir /var/lib/tor/onion-site/
   HiddenServicePort 80 127.0.0.1:8080
   
   # rate-limit floods at the introduction points
   HiddenServiceEnableIntroDoSDefense 1
   
   # make each connection attempt cost the client a little work
   HiddenServicePoWDefensesEnabled 1

   请仔细看这一行端口配置，因为这两个数字干的是不同的事。第一个是访客在洋葱 URL 里会用到的端口 — 把它固定在 80，这样就没人需要额外输入端口号。第二个是 Tor 在本地转发请求的目的地，也就是上一步里那个回环监听地址。这两个数字不需要一致，而且很多时候不一致反而更清楚。

   如果你想连回环 TCP 套接字也去掉，Tor 可以改用一个 unix 套接字来通信，这样一来，端口上就彻底没有任何东西在监听了。把服务指向一个套接字，同时把 nginx 也配置成监听它：

   HiddenServicePort 80 unix:/run/onion-site.sock

   不要自己创建这个目录，也不要自己创建密钥文件。Tor 会在第一次启动时按它期望的属主和权限自动生成它们，而一个你手动创建、权限模式又不对的目录，正是这类服务悄无声息起不来的常见原因。

5. 启动 Tor，读取你的地址

   重启 Tor，看着它启动起来，然后拿到你的地址：

   systemctl restart tor@default
   journalctl -u tor@default -n 20 --no-pager
   cat /var/lib/tor/onion-site/hostname

   这个文件里是 56 个 base32 字符，后面跟着 .onion，这就是你的地址 — 从 Tor 日志记录下它已经发布描述符的那一刻起就已经生效，通常一分钟以内就能完成。不需要注册什么，不需要传播什么，也不需要等待什么。

   再看看 Tor 还创建了什么，因为其中两个文件，比这台机器上其他任何东西都更重要：

   ls -l /var/lib/tor/onion-site/

   你应该能看到 hostname、hs_ed25519_public_key 和 hs_ed25519_secret_key，它们所在的目录属主是 debian-tor，权限模式是 0700。这个密钥不是这个地址的一份凭证；它就是这个地址。把它复制到另一台机器上，那台机器就变成了你的服务。不做备份就删掉它，这个地址就再也没有任何人，包括你自己，能重新创建出来了。第九步会专门妥善处理这件事 — 不要跳过它。

   如果 hostname 文件没有出现，答案几乎总是在日志里：可能是一个 Tor 没法拥有的目录，一个它拒绝接受的权限模式，或者端口那一行写错了字。

6. 访问它，并证明这就是你的机器

   最直观的测试，是在 Tor Browser 里打开这个地址，这一步你也应该做。更有用的测试是在命令行里做，这样能看到响应头：

   apt install -y torsocks
   torsocks curl -sI http://<your-address>.onion/
   torsocks curl -s  http://<your-address>.onion/ | head

   证明这确实是你的服务器。手动输入的地址是 56 个 base32 字符，只要挪错一个字符的位置，就可能连到别人的服务上去。在服务器上写一个随机令牌，然后通过 Tor 去请求那个确切的路径，再做比对：

   head -c 16 /dev/urandom | base32 | tr -d '=' > /var/www/onion/token.txt
   cat /var/www/onion/token.txt
   torsocks curl -s http://<your-address>.onion/token.txt

   两个字符串完全一致，就说明你连到了自己的机器。测试完之后记得把这个文件删掉。

   搞清楚这个测试证明了什么、又没能证明什么。从服务器本身运行这个测试，能证明这个服务已经发布并且可以访问，这正是你想知道的事。但它证明不了任何关于匿名性的东西，因为两端其实是同一台机器。要测试匿名性，得换一个完全不同的网络 — 如果 Tor 在你所在的地方被封锁了，网桥就是答案，我们那篇关于绕过 DPI 封锁的指南讲了这部分。

7. 关掉这个服务不需要的端口

   现在可以收获成果了。洋葱服务需要的入站端口是零，所以防火墙可以做到极致的简单粗暴：丢弃所有入站流量，只放行已建立的连接，以及你管理这台机器所需要的那些。我们的Debian 加固指南里有一套完整的 nftables 规则集；应用它，然后确认剩下的唯一入站例外就是 SSH。

   接下来，可以考虑连这一个例外也去掉。SSH 是这台原本已经完全隐形的机器上，最后一个公开端口，而它其实也没必要公开。给它配一个属于自己的洋葱地址：

   # /etc/tor/torrc
   HiddenServiceDir /var/lib/tor/onion-ssh/
   HiddenServicePort 22 127.0.0.1:22

   重启 Tor，读出新的 hostname，然后通过本地的 Tor SOCKS 端口连接过去。在你笔记本电脑的 ~/.ssh/config 里加上这些：

   Host onionbox
       HostName <ssh-address>.onion
       User root
       ProxyCommand nc -X 5 -x 127.0.0.1:9050 %h %p

   确认这个方式能用之后，就在 sshd_config 里设置 ListenAddress 127.0.0.1，再删掉那条入站规则。这台机器现在在公开地址上彻底没有任何东西在监听了。

   两点提醒。在关上身后这扇门之前，要把洋葱线路彻底测试一遍，并且保留服务商提供的控制台访问方式，这样万一出错，代价只是重启一次，而不是丢掉整台服务器 — 我们这边的控制台就在控制面板里。另外，绝对不要让同一个 SSH 主机密钥同时在公网 IP 和洋葱地址上应答，因为两边的指纹会完全一样，而这恰恰是你最想避免制造出来的那种关联。

8. 公布地址之前，先把漏洞找出来

   在把地址告诉任何人之前，先走一遍这份清单。只需要五分钟，却是一个真正隐藏起来的服务和一个只是不太好找的服务之间的全部差别。

   没有任何意料之外的东西在监听。每一行都应该是回环地址，或者是你自己刻意决定要开放的端口：

   ss -ltnp

   公网 IP 上什么都提供不了。从别的地方，用两种协议直接问一遍这个 IP。你想要的是空的回复或者连接被拒绝；你的内容才是你不想看到的：

   curl -sI --max-time 5 http://203.0.113.10/
   curl -skI --max-time 5 https://203.0.113.10/

   你提供的内容里，不含任何明网 URL。通过 Tor 把页面拉下来，列出里面每一个绝对链接。凡是指向你自己控制的域名、某个 CDN、某个字体服务，或者某个统计端点的，都是一处泄漏或者一个可用于关联的把柄：

   torsocks curl -s http://<your-address>.onion/ \
     | grep -Eo 'https?://[^ "]+' | sort -u

   响应头和错误页面什么都不透露。检查一个真实存在的页面，再检查一个故意不存在的页面，留意版本字符串、主机名、文件路径和堆栈跟踪信息：

   torsocks curl -sI http://<your-address>.onion/
   torsocks curl -s  http://<your-address>.onion/nothing-here | head -20

   应用程序没有在偷偷回家汇报。这一条不是一条命令，而是需要你通读一遍代码。关掉统计分析。字体、图标和脚本都自己托管。关掉头像和预览的自动抓取。去掉那些按计划定时对外呼叫的更新检查。把任何绝对 URL 相关的设置 — 站点 URL、canonical 主机、邮件发件人域名 — 都指向洋葱地址，而不是明网地址。

   日常清理。用 timedatectl set-timezone UTC 把机器设成 UTC 时区，这样时间戳就不会透露出它或者你可能身处何地。确认 /server-status、/.git、备份文件和编辑器的交换文件都无法被访问到。而且，如果这台机器同时还提供着一个明网站点，回去把第三节再读一遍，因为上面这份清单，救不了一个从一开始就没有决定好定位的搭建方案。

9. 备份密钥，因为密钥就是地址

   再说一遍，因为这是那种没人能挽回的失误：私钥就是地址。没有注册商可以申诉，没有找回邮箱，也没有支持工单可提。丢了这些字节，这个名字就从互联网上永远消失了。

   先停掉 Tor，让文件保持一致状态，再把整个服务目录打包，并在它离开这台机器之前先加密：

   systemctl stop tor@default
   tar -C /var/lib/tor -czf - onion-site \
     | gpg -c --cipher-algo AES256 -o onion-site-$(date +%F).tar.gz.gpg
   systemctl start tor@default

   把加密后的压缩包挪到一个不是这台服务器的地方 — 这么做的全部意义，就在于让它能在这台机器之外存活下来。我们的加密备份指南讲了怎么把这件事按计划自动执行，发送到另一个国家的一个只能追加的存储目标上，那才是它真正该待的地方。

   恢复就是把这个过程反过来做一遍，而且权限设置不是可选项：如果权限模式不对，Tor 会拒绝启动，这在当下会让人有点恼火，却正是你想要的行为。

   gpg -d onion-site-2026-09-14.tar.gz.gpg | tar -C /var/lib/tor -xzf -
   chown -R debian-tor:debian-tor /var/lib/tor/onion-site
   chmod 700 /var/lib/tor/onion-site
   chmod 600 /var/lib/tor/onion-site/hs_ed25519_secret_key
   systemctl restart tor@default
   cat /var/lib/tor/onion-site/hostname

   最后这一行就是检验标准。在另一台机器上得到同一个地址，就说明这份备份是真的。现在就先在一台用完即弃的服务器上演练一遍 — 一份没验证过的、不可替代的密钥备份，讲的其实是一个你曾经拥有过的密钥的故事。这里适用的道理，和我们迁移指南里讲的一样：你真正要买的，是能恢复这件事本身。

10. 公布地址，并让人能够信任它

    现在你手上有 56 个字符，没有人能读懂它、记住它，或者用肉眼验证它。这既是一个实实在在的可用性问题，也是一个安全问题，因为访客没法把你的地址和一个几乎一模一样的仿冒地址区分开来。分发方式是整个搭建工作的一部分，不是事后才想起来的补充。

    把它公布在读者已经信任你的地方。如果你有一个明网站点，就把地址放进页脚，并按下一节的方法提供 Onion-Location 响应头。否则，就用你的受众已经习惯和你联系在一起的任何渠道 — 一个已有的账号、一条签过名的消息、一张印出来的卡片。这个地址会自动继承你发布它的那个地方所拥有的可信度，仅此而已。

    如果风险值得，就给它签名。针对这个地址做一个签名、并且能用大家已经持有的密钥去验证，是唯一能让人在不必信任传递渠道本身的前提下，确认自己拿到的就是正确地址的办法。

    不要依赖目录站或者搜索引擎。洋葱地址索引站确实存在，但并不完整，其中好几个还有过在热门地址旁边一并收录钓鱼仿冒版本的历史。能在那上面被找到是个额外的好处，但它不是一份分发方案。

    用一个靓号前缀会有点帮助。mkp224o 这个工具会反复生成密钥，直到生成出一个以你选定的字符串开头的地址，这样一眼就能认出来：

    apt install -y gcc libc6-dev libsodium-dev make autoconf
    git clone https://github.com/cathugger/mkp224o && cd mkp224o
    ./autogen.sh && ./configure && make
    ./mkp224o -d ./keys -n 1 wolf

    这个代价会随着长度呈指数增长：几个字符只需要几秒钟，七八个字符在真实硬件上就要花上真正可观的时间，再长就基本不现实了。要老实地看待它能带来什么 — 攻击者同样可以去碰撞出一模一样的前缀，而前几个字符对上了就信任，恰恰是让人点错链接的那个习惯。把它当成一种品牌标识，而不是一种身份验证手段。生成出来的目录可以直接当作 HiddenServiceDir 使用：按上一步的方法修好属主和权限，并且要在你信任的地方生成它，因为不管是谁在运行这个工具，谁就掌握着这把密钥。

在明网和洋葱地址上同时运行同一个站点#

add_header Onion-Location "http://<your-address>.onion$request_uri" always;

<meta http-equiv="onion-location" content="http://<your-address>.onion">

# /etc/tor/torrc — these are INSTANCE-WIDE, not per service
HiddenServiceNonAnonymousMode 1
HiddenServiceSingleHopMode 1
SOCKSPort 0

客户端授权：当地址本身就是凭证#

openssl genpkey -algorithm x25519 -out alice.prv.pem

# private key — goes to the client, never to the server
grep -v 'PRIVATE KEY' alice.prv.pem | base64 -d | tail -c 32 | base32 | tr -d '='

# public key — goes on the server
openssl pkey -in alice.prv.pem -pubout | grep -v 'PUBLIC KEY' \
  | base64 -d | tail -c 32 | base32 | tr -d '='

mkdir -p /var/lib/tor/onion-site/authorized_clients
echo "descriptor:x25519:<ALICE-PUBLIC-KEY>" \
  > /var/lib/tor/onion-site/authorized_clients/alice.auth
chown -R debian-tor:debian-tor /var/lib/tor/onion-site
systemctl reload tor@default

# /var/lib/tor/onion-auth/mysite.auth_private
<address-without-the-.onion>:descriptor:x25519:<ALICE-PRIVATE-KEY>

让它稳定运行：拒绝服务、时钟与在线率#

老实的局限#

常见问题#