¿Puedo cifrar el disco de un VPS con LUKS?

¿Qué le da realmente cifrar el disco de un VPS con LUKS?

LUKS le da cifrado en reposo: quien copie el disco sin la frase de paso obtiene ruido. No le protege del host mientras el VPS funciona, porque la clave desbloqueada vive en memoria que el hipervisor puede leer.

Por eso importa el encuadre honesto. Gloamport afirma que Virtualización KVM completa: su propio kernel, sus propias reglas de cortafuegos y su propio cifrado de disco si lo configura, lo que hace posible LUKS, y que Ningún plan incluye copias de seguridad: guarde su propia copia de todo lo que no pueda perder. Combine el cifrado con sus propias copias de seguridad. Para la cuestión más amplia de lo que es y no es un VPS privado, véase ¿Qué hace privado a un VPS?.

¿Qué plan de Gloamport encaja con un volumen cifrado?

Gloam es un tamaño cómodo: tiene 2 vCPU, 4 GB de RAM y 80 GB de NVMe de almacenamiento, y Gloamport lo presenta como «Un servidor Matrix, Vaultwarden y SearXNG juntos». El cifrado consume algo de CPU, así que un segundo núcleo ayuda.

Según el estudio de Gloamport sobre 10 de noviembre de 2026, el precio mediano de un VPS comparable de 2 vCPU y 4 GB entre 29 hosts fue de $31.29 al mes. Gloam cuesta $8.25 al mes con 12 meses y $16.50 con 1 mes.

¿Cuáles son los comandos exactos de LUKS?

Los comandos siguientes siguen el manual de cryptsetup. luksFormat inicializa el volumen y fija la primera frase de paso, open crea la asignación, luksDump muestra la cabecera, y luksHeaderBackup guarda una copia binaria de la cabecera y de la zona de ranuras de clave. El manual indica que si la cabecera de un volumen LUKS se daña, todos los datos se pierden de forma permanente salvo que tenga una copia de la cabecera.

apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header

cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault

umount /mnt/vault
cryptsetup close vault

¿Puedo desbloquear a distancia un disco raíz cifrado con dropbear-initramfs?

Sí, si el sistema arranca desde una raíz cifrada: un pequeño servidor SSH dentro del initramfs puede recibir la frase de paso antes de montar el sistema de archivos raíz. Esto requiere una instalación preparada con raíz cifrada, un trabajo mayor que el volumen de datos de arriba, así que trátelo como un paso avanzado y compruebe que su imagen y su proceso de arranque lo permiten.

El paquete de Debian dropbear-initramfs proporciona acceso SSH dentro del sistema de archivos RAM inicial, por ejemplo para desbloquear discos cifrados. Su documentación coloca sus claves públicas en /etc/dropbear/initramfs/authorized_keys y las opciones en /etc/dropbear/initramfs/dropbear.conf, y dice que hay que ejecutar update-initramfs -u -k all después de cambiarlas. También aconseja no reutilizar las claves de host SSH principales, porque /boot suele estar sin cifrar.

apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all

DROPBEAR_OPTIONS="-p 2222"

¿Cómo mantengo utilizable un VPS cifrado con el tiempo?

Haga copia de la cabecera, escriba la frase de paso fuera de línea y guarde su propia copia de los datos, ya que el plan no incluye copias de seguridad. El manual de cryptsetup dice que la copia de seguridad también es obligatoria para los datos cifrados, si los datos tienen algún valor.

Cierre también la puerta principal. ¿Cómo endurezco SSH en un VPS nuevo? lo cubre, y ¿Cómo genero una clave SSH para mi VPS? explica la clave. Los planes y los plazos están en la página de precios.