Panduan · diperiksa 2026-11-10

Bisakah saya mengenkripsi disk VPS dengan LUKS?

LUKS melindungi data saat diam. Ia tidak menyembunyikan VPS yang berjalan dari mesin tempat ia berjalan, dan halaman ini menjelaskan di mana batasnya.

Terakhir diperbarui: 10 November 2026 · 5 menit baca

Jawaban singkat

Bisakah saya mengenkripsi disk VPS dengan LUKS?

Bisa, Anda dapat mengenkripsi disk VPS dengan LUKS, karena Gloamport memberi Anda virtualisasi KVM penuh dengan kernel Anda sendiri. Buat volume dengan cryptsetup luksFormat, buka, format, dan pasang. Paket Gloam, 2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic, berharga $8.25 per bulan pada 12 bulan.

Apa yang dilindungi LUKS di VPS, dan apa yang tidak?

Situasi	Dilindungi LUKS?	Alasan
Salinan citra disk atau snapshot	Ya	Data di disk berupa ciphertext tanpa passphrase
VPS yang dimatikan	Ya	Kuncinya tidak ada di memori
VPS yang berjalan dengan volume terbuka	Tidak	Kunci dan teks biasa berada di RAM, yang dapat dibaca mesin host
Seseorang dengan root di dalam VPS Anda	Tidak	Mereka melihat volume yang terpasang
Passphrase yang hilang atau header yang rusak	Tidak	Data hilang kecuali Anda membuat cadangan header

Batas RAM adalah sifat virtualisasi, bukan Gloamport: host mana pun dapat membaca memori tamu yang dijalankannya.

Apa sebenarnya yang diberikan enkripsi disk VPS dengan LUKS?

LUKS memberi Anda enkripsi saat diam: siapa pun yang menyalin disk tanpa passphrase hanya mendapatkan derau. Ia tidak memberi perlindungan dari host saat VPS berjalan, karena kunci yang terbuka berada di memori yang dapat dibaca hypervisor.

Inilah sebabnya penyajian yang jujur penting. Gloamport menyatakan bahwa Virtualisasi KVM penuh: kernel Anda sendiri, aturan firewall Anda sendiri, dan enkripsi disk Anda sendiri jika Anda mengaturnya, yang memungkinkan LUKS, dan bahwa Tidak ada paket yang menyertakan cadangan: simpan salinan Anda sendiri atas apa pun yang tidak boleh hilang. Padukan enkripsi dengan cadangan Anda sendiri. Untuk pertanyaan yang lebih luas tentang apa itu VPS privat dan apa yang bukan, lihat Apa yang membuat VPS berfokus pada privasi?.

Paket Gloamport mana yang cocok untuk volume terenkripsi?

Gloam adalah ukuran yang nyaman: ia memiliki 2 vCPU, 4 GB RAM, dan 80 GB NVMe penyimpanan, dan Gloamport mencantumkannya untuk "Server Matrix, Vaultwarden, dan SearXNG sekaligus". Enkripsi memakan sebagian CPU, jadi inti kedua membantu.

Menurut survei Gloamport terhadap 10 November 2026, harga median VPS 2 vCPU, 4 GB yang sepadan di antara 29 penyedia adalah $31.29 per bulan. Gloam adalah $8.25 per bulan pada 12 bulan dan $16.50 pada 1 bulan.

Bagaimana cara mengenkripsi volume di VPS dengan LUKS, langkah demi langkah?

Tujuh langkah untuk volume data yang disimpan dalam sebuah file. Perintah yang sama berlaku pada perangkat blok.

Pasang cryptsetup
Jalankan apt install cryptsetup sebagai root.
Buat file kontainer
Alokasikan file dengan ukuran yang Anda butuhkan. cryptsetup memetakan file biasa ke perangkat loop secara otomatis.
Format sebagai LUKS2
Jalankan cryptsetup --type luks2 luksFormat pada file dan pilih passphrase yang panjang. Ini menghapus apa pun di dalam file.
Cadangkan header
Jalankan luksHeaderBackup dan simpan file itu jauh dari VPS. Header yang rusak akan menghilangkan semuanya.
Buka volume
Jalankan cryptsetup open dengan nama pemetaan. Sebuah perangkat muncul di bawah /dev/mapper/.
Buat sistem berkas dan pasang
Jalankan mkfs.ext4 pada perangkat yang dipetakan, buat folder, dan pasang.
Tutup saat Anda selesai
Lepas pasang, lalu cryptsetup close, yang menghapus pemetaan dan membersihkan kunci dari memori kernel.

Apa perintah LUKS yang tepat?

Perintah di bawah mengikuti manual cryptsetup. luksFormat menginisialisasi volume dan menetapkan passphrase pertama, open membuat pemetaan, luksDump menampilkan header, dan luksHeaderBackup menyimpan cadangan biner dari header dan area slot kunci. Manual menyatakan bahwa jika header volume LUKS rusak, semua data hilang secara permanen kecuali Anda memiliki cadangan header.

Buat dan format kontainer

apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header

Buka, format, dan pasang

cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault

Tutup

umount /mnt/vault
cryptsetup close vault

Bisakah saya membuka kunci disk root terenkripsi dari jauh dengan dropbear-initramfs?

Bisa, jika sistem boot dari root terenkripsi, server SSH kecil di initramfs dapat menerima passphrase sebelum sistem berkas root dipasang. Ini memerlukan instalasi yang Anda siapkan dengan root terenkripsi, yang merupakan pekerjaan lebih besar daripada volume data di atas, jadi anggap ini sebagai langkah lanjutan dan periksa apakah image dan proses boot Anda mengizinkannya.

Paket Debian dropbear-initramfs menyediakan akses SSH di dalam RAM filesystem awal, misalnya untuk membuka kunci disk terenkripsi. Dokumentasinya menempatkan kunci publik Anda di /etc/dropbear/initramfs/authorized_keys dan opsi di /etc/dropbear/initramfs/dropbear.conf, dan menyarankan untuk menjalankan update-initramfs -u -k all setelah mengubahnya. Ia juga menyarankan untuk tidak menggunakan ulang kunci host SSH utama, karena /boot biasanya tidak terenkripsi.

Pasang dan terapkan server SSH initramfs

apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all

Opsional: dengarkan di port lain (dropbear.conf)

DROPBEAR_OPTIONS="-p 2222"

Bagaimana cara menjaga VPS terenkripsi tetap dapat digunakan dari waktu ke waktu?

Cadangkan header, tuliskan passphrase secara offline, dan simpan salinan data Anda sendiri, karena paket tidak memiliki cadangan. Manual cryptsetup menyatakan bahwa cadangan juga wajib untuk data terenkripsi, jika data itu bernilai.

Kunci pintu depan juga. Bagaimana cara memperkuat SSH di VPS baru? membahasnya, dan Bagaimana cara membuat kunci SSH untuk VPS saya? membahas kuncinya. Paket dan masa ada di halaman harga.

Ringkasan

LUKS2 mengenkripsi data saat diam di VPS dengan virtualisasi KVM penuh.
Ia tidak menyembunyikan VPS yang berjalan dari host, yang dapat membaca RAM.
cryptsetup --type luks2 luksFormat membuat volume; open dan close mengelolanya.
Cadangkan header dengan luksHeaderBackup: header yang rusak menghilangkan semua data.
dropbear-initramfs memungkinkan pembukaan kunci jarak jauh untuk root terenkripsi.
Gloam (2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic) berharga $8.25 per bulan pada 12 bulan.

LUKS di VPS: pertanyaan umum

Bisakah host VPS membaca data LUKS saya?

Tidak dari disk, tetapi ya saat volume terbuka, karena kunci dan data berada di memori yang dapat dibaca host. LUKS melindungi data saat diam.

Bisakah saya menggunakan file alih-alih partisi?

Bisa. Manual cryptsetup menyatakan bahwa jika argumen perangkat berupa file, cryptsetup mencoba mengalokasikan perangkat loopback dan memetakannya ke file itu.

Apa yang terjadi jika saya lupa passphrase?

Data tidak dapat dibaca. Simpan passphrase dengan aman dan buat cadangan header, karena header yang rusak juga menghilangkan semuanya.

Apa yang dilakukan dropbear-initramfs?

Ia menjalankan server SSH kecil di dalam RAM filesystem awal sehingga Anda dapat membuka kunci disk root terenkripsi saat boot dari mesin lain.

Apakah Gloamport menyertakan cadangan?

Tidak ada paket yang menyertakan cadangan, jadi simpan salinan Anda sendiri atas apa pun yang tidak boleh hilang.

Sumber (4)

Halaman manual cryptsetup(8) — Debian (checked 2026-11-10)
Halaman manual cryptsetup-luksFormat(8) — Debian (checked 2026-11-10)
README dropbear-initramfs — Debian (checked 2026-11-10)
Paket dropbear-initramfs (trixie) — Debian (checked 2026-11-10)