# ¿Puedo cifrar el disco de un VPS con LUKS?

> Sí: LUKS2 cifra un volumen en un VPS, pero el host puede ver la RAM. Gloam, con 2 vCPU y 4 GB, cuesta $8.25 al mes con 12 meses.

- URL: https://gloamport.com/es/guides/how-to-encrypt-a-vps-disk-with-luks/
- Última actualización: 2026-11-10
- Editor: Gloamport (https://gloamport.com)

LUKS protege los datos en reposo. No oculta un VPS en marcha a la máquina en la que funciona, y esta página indica dónde está esa frontera.

**Respuesta rápida — ¿Puedo cifrar el disco de un VPS con LUKS?**

Sí, puede cifrar el disco de un VPS con LUKS, porque Gloamport le da virtualización KVM completa con su propio kernel. Cree un volumen con cryptsetup luksFormat, ábralo, formatéelo y móntelo. Un plan Gloam, 2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic, cuesta $8.25 al mes con 12 meses.

## ¿Qué protege LUKS en un VPS y qué no?

| Situación | ¿Protegido por LUKS? | Por qué |
| --- | --- | --- |
| Una copia de la imagen del disco o una instantánea | Sí | Los datos en disco son texto cifrado sin la frase de paso |
| Un VPS apagado | Sí | La clave no está en memoria |
| Un VPS en marcha con el volumen abierto | No | La clave y el texto en claro están en la RAM, que la máquina anfitriona puede leer |
| Alguien con root dentro de su VPS | No | Ve el volumen montado |
| Una frase de paso perdida o una cabecera dañada | No | Los datos se pierden salvo que haya hecho una copia de la cabecera |

El límite de RAM es una propiedad de la virtualización, no de Gloamport: cualquier host puede leer la memoria de los invitados que ejecuta.

## ¿Qué le da realmente cifrar el disco de un VPS con LUKS?

LUKS le da cifrado en reposo: quien copie el disco sin la frase de paso obtiene ruido. No le protege del host mientras el VPS funciona, porque la clave desbloqueada vive en memoria que el hipervisor puede leer.

Por eso importa el encuadre honesto. Gloamport afirma que Virtualización KVM completa: su propio kernel, sus propias reglas de cortafuegos y su propio cifrado de disco si lo configura, lo que hace posible LUKS, y que Ningún plan incluye copias de seguridad: guarde su propia copia de todo lo que no pueda perder. Combine el cifrado con sus propias copias de seguridad. Para la cuestión más amplia de lo que es y no es un VPS privado, véase [¿Qué hace privado a un VPS?](https://gloamport.com/es/privacy-focused-vps/ "¿Qué hace que un VPS sea centrado en la privacidad?").

## ¿Qué plan de Gloamport encaja con un volumen cifrado?

Gloam es un tamaño cómodo: tiene 2 vCPU, 4 GB de RAM y 80 GB de NVMe de almacenamiento, y Gloamport lo presenta como «Un servidor Matrix, Vaultwarden y SearXNG juntos». El cifrado consume algo de CPU, así que un segundo núcleo ayuda.

Según el estudio de Gloamport sobre 10 de noviembre de 2026, el precio mediano de un VPS comparable de 2 vCPU y 4 GB entre 29 hosts fue de $31.29 al mes. Gloam cuesta $8.25 al mes con 12 meses y $16.50 con 1 mes.

## ¿Cómo cifro un volumen de un VPS con LUKS, paso a paso?

Siete pasos para un volumen de datos contenido en un archivo. Los mismos comandos sirven para un dispositivo de bloques.

1. **Instale cryptsetup** — Ejecute apt install cryptsetup como root.
2. **Cree el archivo contenedor** — Reserve un archivo del tamaño que necesite. cryptsetup asocia por sí mismo un archivo normal a un dispositivo de bucle.
3. **Fórmatelo como LUKS2** — Ejecute cryptsetup --type luks2 luksFormat sobre el archivo y elija una frase de paso larga. Esto borra todo lo que haya en el archivo.
4. **Haga copia de la cabecera** — Ejecute luksHeaderBackup y guarde el archivo lejos del VPS. Una cabecera dañada lo pierde todo.
5. **Abra el volumen** — Ejecute cryptsetup open con un nombre de asignación. Aparece un dispositivo en /dev/mapper/.
6. **Cree un sistema de archivos y móntelo** — Ejecute mkfs.ext4 sobre el dispositivo asignado, cree una carpeta y móntelo.
7. **Ciérrelo cuando termine** — Desmóntelo y después ejecute cryptsetup close, que elimina la asignación y borra la clave de la memoria del kernel.

## ¿Cuáles son los comandos exactos de LUKS?

Los comandos siguientes siguen el manual de cryptsetup. `luksFormat` inicializa el volumen y fija la primera frase de paso, `open` crea la asignación, `luksDump` muestra la cabecera, y `luksHeaderBackup` guarda una copia binaria de la cabecera y de la zona de ranuras de clave. El manual indica que si la cabecera de un volumen LUKS se daña, todos los datos se pierden de forma permanente salvo que tenga una copia de la cabecera.

*Cree y formatee el contenedor*

```bash
apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header
```

*Abra, formatee y monte*

```bash
cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault
```

*Ciérrelo*

```bash
umount /mnt/vault
cryptsetup close vault
```

## ¿Puedo desbloquear a distancia un disco raíz cifrado con dropbear-initramfs?

Sí, si el sistema arranca desde una raíz cifrada: un pequeño servidor SSH dentro del initramfs puede recibir la frase de paso antes de montar el sistema de archivos raíz. Esto requiere una instalación preparada con raíz cifrada, un trabajo mayor que el volumen de datos de arriba, así que trátelo como un paso avanzado y compruebe que su imagen y su proceso de arranque lo permiten.

El paquete de Debian `dropbear-initramfs` proporciona acceso SSH dentro del sistema de archivos RAM inicial, por ejemplo para desbloquear discos cifrados. Su documentación coloca sus claves públicas en `/etc/dropbear/initramfs/authorized_keys` y las opciones en `/etc/dropbear/initramfs/dropbear.conf`, y dice que hay que ejecutar `update-initramfs -u -k all` después de cambiarlas. También aconseja no reutilizar las claves de host SSH principales, porque `/boot` suele estar sin cifrar.

*Instale y aplique el servidor SSH del initramfs*

```bash
apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all
```

*Opcional: escuchar en otro puerto (dropbear.conf)*

```text
DROPBEAR_OPTIONS="-p 2222"
```

> **Pruebe antes de confiar en ello** Tenga una segunda vía de entrada y pruebe antes el desbloqueo en un VPS de repuesto. Un initramfs incorrecto o una frase de paso perdida pueden dejar la máquina esperando en el arranque. Use un puerto SSH distinto o un archivo known_hosts distinto para el paso de desbloqueo, ya que sus claves de host difieren de las del servidor principal.

## ¿Cómo mantengo utilizable un VPS cifrado con el tiempo?

Haga copia de la cabecera, escriba la frase de paso fuera de línea y guarde su propia copia de los datos, ya que el plan no incluye copias de seguridad. El manual de cryptsetup dice que la copia de seguridad también es obligatoria para los datos cifrados, si los datos tienen algún valor.

Cierre también la puerta principal. [¿Cómo endurezco SSH en un VPS nuevo?](https://gloamport.com/es/guides/how-to-harden-ssh-on-a-vps/ "¿Cómo endurezco SSH en un VPS nuevo?") lo cubre, y [¿Cómo genero una clave SSH para mi VPS?](https://gloamport.com/es/guides/how-to-generate-an-ssh-key/ "¿Cómo genero una clave SSH para mi VPS?") explica la clave. Los planes y los plazos están en [la página de precios](https://gloamport.com/es/pricing/ "¿Cuánto cuesta un VPS de Gloamport?").

**Resumen**

- LUKS2 cifra los datos en reposo en un VPS con virtualización KVM completa.
- No oculta un VPS en marcha al host, que puede leer la RAM.
- `cryptsetup --type luks2 luksFormat` crea el volumen; `open` y `close` lo gestionan.
- Haga copia de la cabecera con `luksHeaderBackup`: una cabecera dañada pierde todos los datos.
- `dropbear-initramfs` permite desbloquear a distancia una raíz cifrada.
- Gloam (2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic) cuesta $8.25 al mes con 12 meses.

## LUKS en un VPS: preguntas frecuentes

### ¿Puede el host del VPS leer mis datos cifrados con LUKS?

No desde el disco, pero sí mientras el volumen está abierto, porque la clave y los datos están en memoria a la que el host puede acceder. LUKS protege los datos en reposo.

### ¿Puedo usar un archivo en lugar de una partición?

Sí. El manual de cryptsetup dice que si el argumento del dispositivo es un archivo, cryptsetup intenta reservar un dispositivo de bucle y asociarlo a ese archivo.

### ¿Qué pasa si olvido la frase de paso?

Los datos no pueden leerse. Guarde la frase de paso a salvo y haga copia de la cabecera, porque una cabecera dañada también lo pierde todo.

### ¿Qué hace dropbear-initramfs?

Inicia un pequeño servidor SSH dentro del sistema de archivos RAM inicial, para que pueda desbloquear un disco raíz cifrado al arrancar desde otra máquina.

### ¿Incluye Gloamport copias de seguridad?

Ningún plan incluye copias de seguridad, así que guarde su propia copia de todo lo que no pueda perder.

## Fuentes

1. [Página de manual de cryptsetup(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup.8.en.html) — Debian (checked 2026-11-10)
2. [Página de manual de cryptsetup-luksFormat(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup-luksFormat.8.en.html) — Debian (checked 2026-11-10)
3. [README de dropbear-initramfs](https://salsa.debian.org/debian/dropbear/-/raw/debian/latest/debian/README.initramfs) — Debian (checked 2026-11-10)
4. [Paquete dropbear-initramfs (trixie)](https://packages.debian.org/trixie/dropbear-initramfs) — Debian (checked 2026-11-10)

---

Gloamport: Gloamport es un proveedor de VPS que vende servidores Linux KVM sin KYC, se piden con un número de cuenta y se pagan en criptomonedas, Monero primero; lo opera DomaineGoat LLC, una empresa registrada en Panamá. Un pedido pide un plan, una moneda y, solo si lo quiere, una dirección de correo: ni nombre, ni dirección postal, ni teléfono ni documento de identidad. En el plazo de 12 meses, cada plan tiene un precio al menos un 25% inferior al de un plan comparable concreto de un estudio de 38 hosts de VPS sin KYC que aceptan cripto, consultado el 10 de noviembre de 2026.