如何匿名托管网站

在敲下任何命令之前，先想清楚你要躲的是谁。对付一个好奇的邻居，“匿名”轻而易举；但要对付一个资源雄厚的民事诉讼方，或者一个国家级对手，那完全是另一门学问。你的各项操作规矩——从哪台设备 SSH 登录、会不会用家里的 IP 连这台机器、域名和服务器能否被关联起来——都取决于这个答案。

需要彼此隔开的三种身份

• 算力身份——谁付钱买了这台服务器、谁控制它。一次 KYC 注册，或一张能被追踪的银行卡，就能让它前功尽弃。对策：用 Monero 付款的免 KYC VPS。
• 名称身份——谁拥有这个域名。WHOIS 信息、注册商的付款记录，或是解析到你真实域名服务器的 DNS，都会让它暴露。对策：通过另一条匿名途径注册域名。
• 运维者身份——你在运营过程中留下的指纹。反复使用的 SSH 密钥、从家里登录、会把你的用户名嵌进页面的 CMS，或是从第三方加载的统计脚本、字体和其他脚本，都会把你暴露出来。

把这三种身份里，哪些对你的项目真正重要，先写下来。一个尊重隐私的宣传网站，需要前两种。一个泄密档案库，或者记者的匿名投稿箱，则三种都需要，再加上下文介绍的 Tor 洋葱服务方案。

匿名不是什么

它不是一个万能的“隐私模式”开关。它也不是盲目信任 CDN 那个“隐藏我的 IP”的开关，而你的源站其实依然在真实地址上应答。它更不是违禁活动的法律挡箭牌——CryptoVpsHost 只有一条零容忍的底线（CSAM，儿童性虐待材料），并且会依据具有约束力的司法命令采取行动。这里所说的匿名，指的是你不会被轻易识别出来，而且运营方手里没有任何能识别你身份的文件，而不是说物理定律或你所在司法管辖区的法律就此失效。

数据存放在哪里，决定了哪国的法院能强制要求什么。CryptoVpsHost 在四个地区运行完全相同的硬件，所以你选择法律管辖地时，不必牺牲性能：

• 冰岛雷克雅未克（REK）——有 IMMI 新闻自由倡议，没有强制性的数据留存法律，使用可再生的地热能源。非常适合新闻报道和泄密档案库。
• 瑞士苏黎世（ZRH）——宪法层面的隐私保护力度很强（FADP），不在十四眼情报共享安排之内，而且《刑法典》第 271 条对协助外国当局设有限制。面对对抗性强的威胁模型，这是最稳妥保守的选择。
• 罗马尼亚布加勒斯特（OTP）——欧盟成员国，网络连通性出色，历来抵制过于宽泛的下架压力，在欧盟这几个节点中成本最低。
• 法国巴黎（PAR）——欧盟，对等互联和基础设施稳健，适用 GDPR。是第二便宜的地区（入门套餐 $5，与布加勒斯特相同），对欧洲大部分地区的延迟也最低。

想让你与任何单一法律体系之间的隔离做到最彻底，可以把主机放在雷克雅未克或苏黎世，再通过位于另一个司法管辖区的注册商来注册域名。完整的法律切入点分析，请见司法管辖区概览。无论你选哪个地区，任何法律要求的公司管辖地都是圣基茨和尼维斯，而运营方在依据依法送达的命令采取行动之前，会先通知你。

用一个一次性邮箱和一个强密码创建账户——这就是全部的注册步骤，没有验证邮件，没有手机号，也没有人机验证。然后用加密货币给余额充值。Monero（XMR）是默认的隐私之选：约 30 秒到账，而且不会在链上留下任何能把这笔付款与你关联起来的公开痕迹。比特币（BTC）也可以用，但要几分钟才能到账，而且链上是透明的，所以这个场景下优先选 XMR。

充值并部署

• 先给余额充值，之后每次部署都从余额里扣款。奖励随金额递增：充值 $100 为 +30%，充值 $1000 为 +70%（两者之间线性递增）。
• 选一个套餐。S1（2 vCPU / 4 GB DDR5 / 80 GB NVMe，每月 $5 起）跑静态站点或小型动态站点绰绰有余。如果要跑 CMS、数据库，并且想留出余量，就升级到 S2 Pro（4 vCPU / 16 GB / 320 GB，每月 $15 起）。
• 选一个操作系统镜像——Debian 13 是下面命令所用的精简默认选项。也提供 Ubuntu 24.04、Rocky 9、Alma 9、Alpine、Arch 和 FreeBSD 14。
• 选一个计费周期。周期折扣力度很大，并且是一次性的（不自动续费）：3 个月周期优惠 25%，6 个月周期优惠 35%，12 个月周期优惠 50%。

点击部署。启动时间的中位数约为 47 秒；你会在控制面板里拿到 IPv4 地址、一个 /64 的 IPv6 地址段，以及初始的 root 凭证。如果下单时有提供该选项，就在那时填入你的 SSH 公钥；也可以像接下来这样，在首次登录时再粘贴。准备好了吗？订购 VPS。

# From the order panel you receive an IPv4 like 203.0.113.10
# First login (replace with your address):
ssh [email protected]

暴露在公网上的机器，几分钟之内就会被扫描。在对外提供任何内容之前，先把它锁牢。这些操作请在第一次会话里全部做完。

1. 仅密钥登录的 SSH，禁止 root 密码登录

如果你还没有密钥，请在本地机器上生成一把（为这个项目专门用一把独立的密钥——不要复用你工作用的那把）：

# Local machine
ssh-keygen -t ed25519 -f ~/.ssh/anon_site -C ""
ssh-copy-id -i ~/.ssh/anon_site.pub [email protected]

然后在服务器上，禁用密码登录和 root 密码登录：

# /etc/ssh/sshd_config.d/hardening.conf
PasswordAuthentication no
PermitRootLogin prohibit-password
KbdInteractiveAuthentication no
AuthenticationMethods publickey

systemctl restart ssh

-C "" 会去掉 user@hostname 形式的注释，这样你的密钥文件就不会嵌入笔记本的主机名或用户名——这是一处虽小、却真实存在的运维者身份泄露。

2. 默认拒绝的防火墙

apt update && apt install -y nftables
# Allow SSH, HTTP, HTTPS only; drop the rest inbound.
cat > /etc/nftables.conf <<'EOF'
table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
    ct state established,related accept
    iif lo accept
    tcp dport { 22, 80, 443 } accept
    ip protocol icmp accept
    ip6 nexthdr icmpv6 accept
  }
}
EOF
systemctl enable --now nftables

3. 用 fail2ban 挡住暴力破解的噪音

apt install -y fail2ban
cat > /etc/fail2ban/jail.local <<'EOF'
[sshd]
enabled = true
maxretry = 3
bantime  = 1h
findtime = 10m
EOF
systemctl enable --now fail2ban

还要启用无人值守的安全更新（apt install unattended-upgrades），并创建一个非 root 的 sudo 用户用于日常操作。VPS 加固指南对 auditd、内核 sysctl 参数和日志最小化讲得更深入。

对一个普通的公开网站，你是在服务器的真实 IP 上通过 HTTPS 对外提供服务的。匿名性来自这个 IP 和域名都追溯不到任何人，而不是来自把 IP 藏起来。（如果你还想在前面再加一层 CDN，也没问题——但绝不要让源站在一个容易被猜到的地址上，用你的真实域名应答；请在 nftables 里把源站锁定为只接受 CDN 的 IP 段，否则就等于泄露了你的源站。）

安装并获取证书

apt install -y nginx certbot python3-certbot-nginx
# Point your domain's A/AAAA records at the VPS IPs first, then:
certbot --nginx -d example.org -d www.example.org \
  --agree-tos --no-eff-email -m [email protected]

ACME 联系邮箱请使用与域名绑定的地址，例如 [email protected]——绝不要用个人邮箱。Certbot 会自动安装续期定时器。

一个极简、少记日志的 nginx 站点

# /etc/nginx/sites-available/example.org
server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name example.org www.example.org;
    root /var/www/example.org;

    ssl_certificate     /etc/letsencrypt/live/example.org/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.org/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;

    # Privacy: don't store visitor IPs in access logs.
    access_log off;
    server_tokens off;
    add_header X-Frame-Options DENY;
    add_header X-Content-Type-Options nosniff;
}
server {
    listen 80; listen [::]:80;
    server_name example.org www.example.org;
    return 301 https://$host$request_uri;
}

access_log off 意味着你永远不会攒下一个可能被传票调取的访客 IP 数据库——你交不出自己没有保存的东西。设置 server_tokens off，免得版本号横幅暴露你的技术栈指纹。另外，不要嵌入第三方的统计脚本、字体或其他脚本：访客浏览器发出的每一个外部请求，都是一个可供关联的把柄。所有资源都自己托管。重新加载配置请用 nginx -t && systemctl reload nginx。

想让网站与任何 IP 地址之间切得最彻底，就把它作为 Tor 洋葱服务（onion service）对外提供。对手没有任何公网 IP 可以查封、做地理定位或关联——这个地址由一对密钥派生而来，只能通过 Tor 访问。你可以让洋葱服务与使用干净 IP 的站点并行运行，也可以用它取而代之。

apt install -y tor
# /etc/tor/torrc
HiddenServiceDir /var/lib/tor/site/
HiddenServicePort 80 127.0.0.1:8080

systemctl restart tor
cat /var/lib/tor/site/hostname   # your xxxxxxxx.onion address

让 nginx 的洋葱虚拟主机监听 127.0.0.1:8080，并且只绑定到本机——所有对外可达性都由 Tor 负责，所以上面那套防火墙（除 22/80/443 之外全部丢弃）会让洋葱后端对干净的互联网完全不可见。CryptoVpsHost 明确允许运行 Tor 中继、出口节点和洋葱服务。如果是一个公开站点，同时也想让人能发现它的 .onion 地址，就在你的明网虚拟主机里用 Onion-Location 响应头来声明，这样 Tor Browser 会自动提示用户切换。

对于泄密档案库、记者匿名投稿箱，以及任何即使服务器被查扣、也不该泄露运营者或访客任何信息的场景，这都是合适的架构。再把全盘加密也考虑进来：root 密码本身已经以 AES-256 加密存储，密钥由运营方持有。

最难的部分你已经完成了——一台免 KYC、用加密货币付款、经过加固、少记日志的服务器。现在别在名称这一层把它前功尽弃。域名，是匿名性最常悄悄泄露的地方。

• WHOIS——通过一条不会把你的名字写进公开记录的途径来注册。选一家接受加密货币、且带 WHOIS 隐私保护的注册商，让域名和服务器之间不共享任何个人数据。
• DNS 历史——如果某个域名曾经指向过你家里的 IP，或某台曾被识别出身份的服务器，被动 DNS（passive DNS）数据库是会记住的。请使用全新的域名，或者在复用之前先审查它的历史。
• 付款关联——域名可以用同一份加密货币余额支付，也可以用另一份，但绝不要用银行卡，或任何与你的名字绑定的支付渠道。
• 注册商的域名服务器——把 DNS 放在注册商那里，或放在同一套匿名基础设施上；不要把它挂在第三方的个人账号下。

当域名、DNS、服务器和付款全都追溯不到任何人时，你才算真正匿名托管了一个网站——而不只是自我感觉如此。想深入了解司法管辖区的选择，请阅读离岸主机相关内容；想进一步加固这台主机，请看加固 VPS。