自托管一个 Monero 节点。
不再向陌生人打听链尖在哪里。

几乎每一个 Monero 钱包出厂时都指向别人的守护进程，因为另一个选择是四分之一 TB 的空间和两天的等待。这样的默认设置是站得住脚的，但由此产生的隐私损失，却经常被两种人说错——一种人以为远程节点能读到自己的余额，另一种人以为它什么都学不到。搞清楚这道信息泄露的真实形状，才能判断这份指南是否值得您花一个下午。

它不能做什么。 它看不到您的余额、地址或密钥。Monero 钱包不会告诉节点要找什么；它会按区块范围整块拉取数据，再用本地的私有查看密钥逐一尝试解密每一笔输出，而这把密钥永远不会离开设备。节点交出的字节，和它交给任何人的完全一样。它无法判断刚刚交出的这些输出里，哪些（如果有的话）是属于您的——这与其他地方使用的轻钱包模型存在真正的架构差异：在那种模型里，服务器被直接告知要监视哪些地址，因此清楚地知道自己在监视什么。

它能做什么。 它能看到发起连接的 IP 地址。它能看到这个 IP 请求过的区块范围，从而框定出其背后钱包大致的创建时间。它能看到您刷新的节奏，这是一种使用模式。而当您花费时，它会第一个收到您签署好的交易，早于网络上的其他节点——因此它完全有能力记录下：这笔交易，在这一秒，从这个地址进入了网络。Monero 的其他一切设计，目的都是打破这样的关联。而免费把这些连同一个稳定的 IP 一起交给陌生人，正是值得修补的地方。

以及它能做、却没人提起的事。 它可能说谎。一个心怀恶意、或者只是出了故障的节点，可能给出过时的链尖，让您的钱包误报一笔尚未发生的入账，也可能不去中继一笔您以为已经发出的交易。这些都不会偷走资金——钱包会验证自己解密出的内容——但确实会让您依据一个失真的世界图景行事，对于正在等待确认的商家来说，这本身就是一种损失。自己运行的节点，是一个您不必再权衡其答案是否可信的节点。

「钱包创建窗口」在您自己的节点上依然对您可见，因为这次请求本身照常发生——它只是不再对其他任何人可见。这正是整件事的意义所在：不是让元数据消失，而是让您成为唯一掌握它的人。

在控制面板中：Order → VPS → 裁剪节点选 Garrison，想要完整链就选 Ravelin，镜像选 Debian 12。开通账户不需要邮箱地址，任何环节都不会要求身份证件，账单以 Monero 结算——这是一种令人愉快的对称，也是我们所知从一个钱包到一台开机服务器之间最短的一条路径。选择堡垒机时，请按它到您自己的延迟来定，而不是到网络的延迟：对等节点之间的连接是异步的，并不在意延迟，但您钱包的刷新速度会在意。

接下来把第一个小时花在筑墙上。Monero 节点本质上就是一种公共服务——它在 P2P 端口上监听，并与陌生人通信——所以这条基线没有商量余地：仅密钥登录的 SSH、非默认端口、默认拒绝的防火墙、无人值守的安全更新、fail2ban。首小时加固清单是与本文配套的一篇，值得在守护进程存在之前，就完整地走一遍。

这个节点的防火墙结构异常简单。应当能从外部访问的，恰好只有两样：您的 SSH 端口，以及 Monero 的 P2P 端口。其余一律不开——尤其不包括 RPC 端口，步骤 05 会改用隧道来访问它。

ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp        # or your relocated SSH port
ufw allow 18080/tcp     # Monero P2P — the only service port
ufw enable
ufw status numbered

在往磁盘上同步四分之一 TB 数据之前，先确认您实际拿到的磁盘容量，因为在初始同步进行到第四十个小时才发现空间不够，那种不愉快很特别：

df -h /
# → the "Avail" column is your real budget, not the tier name

给守护进程分配一个专属的非特权用户和专属目录。Monero 节点一旦运行起来，没有任何环节需要 root 权限，而一个整天都在与公网通信的服务，正是您最不希望以 root 身份运行的那种服务。

useradd --system --home /var/lib/monero --shell /usr/sbin/nologin monero
mkdir -p /var/lib/monero /var/log/monero
chown -R monero:monero /var/lib/monero /var/log/monero

/etc/monerod.conf ——与 monerod 在命令行上接受的选项相同，只是去掉了前面的短横线。如果您决定运行全节点，请删除 prune-blockchain 这一行；这是唯一一行不可逆的配置。

# ── storage ────────────────────────────────────────────────
data-dir=/var/lib/monero
log-file=/var/log/monero/monerod.log
log-level=0
max-log-file-size=104857600
prune-blockchain=1
sync-pruned-blocks=1

# ── P2P: the only port the firewall opens ─────────────────
p2p-bind-ip=0.0.0.0
p2p-bind-port=18080
out-peers=32
in-peers=48
no-igd=1

# ── RPC A: unrestricted, loopback only, for you ───────────
rpc-bind-ip=127.0.0.1
rpc-bind-port=18081

# ── RPC B: restricted, what a wallet is allowed to ask ────
rpc-restricted-bind-ip=127.0.0.1
rpc-restricted-bind-port=18089

# ── misc ──────────────────────────────────────────────────
zmq-pub=tcp://127.0.0.1:18083
db-sync-mode=safe

两个 RPC 监听端口，是值得弄清楚的部分。18081 端口回应一切请求，包括管理性调用，它理应绑定在环回地址上，也确实如此。18089 端口是受限接口：只提供只读调用，不涉及任何隐私敏感的内部信息，这也是网络上每一个公共节点对外暴露的内容。这里两者都特意留在 127.0.0.1 上——步骤 05 会通过隧道访问 18089，而不是直接开放它。

/etc/systemd/system/monerod.service

[Unit]
Description=Monero full node
After=network-online.target
Wants=network-online.target

[Service]
User=monero
Group=monero
Type=simple
ExecStart=/usr/local/bin/monerod --config-file /etc/monerod.conf \
          --non-interactive
Restart=on-failure
RestartSec=30
TimeoutStopSec=300
KillSignal=SIGINT
StandardOutput=journal
StandardError=journal
NoNewPrivileges=true
PrivateTmp=true
ProtectSystem=full
ProtectHome=true

[Install]
WantedBy=multi-user.target

KillSignal 和 TimeoutStopSec 不是摆设。 数据库需要被干净地关闭，一个在写入过程中被强行终止的守护进程，重新启动时可能需要一次修复——或者干脆需要重新同步。SIGINT 会要求它正常关闭，而五分钟就是让它完成关闭所需的宽限期。任何省略这两行配置的指南，都只差一次倒霉的重启，就会让您搭上一整个周末。

systemctl daemon-reload
systemctl enable --now monerod
systemctl status monerod --no-pager

受限 RPC 接口目前绑定在环回地址上，也就是说，眼下没有任何东西能连接到它。这是正确的默认状态，这一步剩下的内容，就是选择用哪种方式跨过这道缺口。只需选一种——它们组合在一起效果并不好，而且您也只需要其中一种。

方案 A · SSH 隧道——一台机器，零配置。 适合只使用一台笔记本电脑的情形。不需要安装任何新东西，也不会新增任何监听端口，隧道会随会话结束而消失。这样一来，您的钱包就可以像访问本地节点一样，指向 127.0.0.1:18089。

ssh -N -L 18089:127.0.0.1:18089 monero-vps
# leave it running; point the wallet at 127.0.0.1:18089

方案 B · WireGuard——多台设备，常驻在线。 适合手机、台式机加笔记本电脑这种组合的答案。节点加入您的私有网络，钱包通过它的隧道 IP 来访问它，完全没有端口暴露在公网上。WireGuard 指南负责搭建这条隧道；这里唯一多出的一步，是让守护进程在这条隧道上应答。

# in /etc/monerod.conf
rpc-restricted-bind-ip=10.8.0.1        # the node's WireGuard address
confirm-external-bind=1

# and in the firewall, only on the tunnel interface
ufw allow in on wg0 to any port 18089 proto tcp

方案 C · v3 洋葱——随处可用，无需端口，无需固定 IP。 适合经常出差、或者希望节点无需任何入站端口就能随处访问的情形。Tor 负责发布这个服务；没有端口需要转发，也没有端口会被扫描。隐藏服务指南介绍了完整的 torrc 配置；节点专属的部分只有三行。

# /etc/tor/torrc
HiddenServiceDir /var/lib/tor/monero-rpc/
HiddenServiceVersion 3
HiddenServicePort 18089 127.0.0.1:18089

# then read the address Tor generated for you
cat /var/lib/tor/monero-rpc/hostname

无论您搭好的是哪一条通路，钱包这一侧要填的都是同样三项。在 Feather 中：Settings → Node → add a custom node，填入 host 和 port，如果选用的是洋葱地址，还要启用 Tor 代理。在官方 Monero GUI 中：Settings → Node → Remote node，选中「connect to a remote node」。在 Cake Wallet 中：Settings → Nodes → add node，可以直接接受一个洋葱地址。如果您在 RPC 接口上设置了用户名和密码，三者都有对应的填写项。

然后确认它确实生效了。 钱包显示的高度应当与您节点的高度一致，节点也应当多显示出一个 RPC 客户端。如果钱包仍然能在一秒之内刷新完成，它很可能仍在与默认的公共节点通信——大多数钱包会把旧节点留在列表里，并在必要时悄悄回退到它。