# Bisakah saya mengenkripsi disk VPS dengan LUKS?

> Bisa: LUKS2 mengenkripsi volume di VPS, tetapi host dapat melihat RAM. Gloam, 2 vCPU dan 4 GB, berharga $8.25 per bulan pada 12 bulan.

- URL: https://gloamport.com/id/guides/how-to-encrypt-a-vps-disk-with-luks/
- Terakhir diperbarui: 2026-11-10
- Penerbit: Gloamport (https://gloamport.com)

LUKS melindungi data saat diam. Ia tidak menyembunyikan VPS yang berjalan dari mesin tempat ia berjalan, dan halaman ini menjelaskan di mana batasnya.

**Jawaban singkat — Bisakah saya mengenkripsi disk VPS dengan LUKS?**

Bisa, Anda dapat mengenkripsi disk VPS dengan LUKS, karena Gloamport memberi Anda virtualisasi KVM penuh dengan kernel Anda sendiri. Buat volume dengan cryptsetup luksFormat, buka, format, dan pasang. Paket Gloam, 2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic, berharga $8.25 per bulan pada 12 bulan.

## Apa yang dilindungi LUKS di VPS, dan apa yang tidak?

| Situasi | Dilindungi LUKS? | Alasan |
| --- | --- | --- |
| Salinan citra disk atau snapshot | Ya | Data di disk berupa ciphertext tanpa passphrase |
| VPS yang dimatikan | Ya | Kuncinya tidak ada di memori |
| VPS yang berjalan dengan volume terbuka | Tidak | Kunci dan teks biasa berada di RAM, yang dapat dibaca mesin host |
| Seseorang dengan root di dalam VPS Anda | Tidak | Mereka melihat volume yang terpasang |
| Passphrase yang hilang atau header yang rusak | Tidak | Data hilang kecuali Anda membuat cadangan header |

Batas RAM adalah sifat virtualisasi, bukan Gloamport: host mana pun dapat membaca memori tamu yang dijalankannya.

## Apa sebenarnya yang diberikan enkripsi disk VPS dengan LUKS?

LUKS memberi Anda enkripsi saat diam: siapa pun yang menyalin disk tanpa passphrase hanya mendapatkan derau. Ia tidak memberi perlindungan dari host saat VPS berjalan, karena kunci yang terbuka berada di memori yang dapat dibaca hypervisor.

Inilah sebabnya penyajian yang jujur penting. Gloamport menyatakan bahwa Virtualisasi KVM penuh: kernel Anda sendiri, aturan firewall Anda sendiri, dan enkripsi disk Anda sendiri jika Anda mengaturnya, yang memungkinkan LUKS, dan bahwa Tidak ada paket yang menyertakan cadangan: simpan salinan Anda sendiri atas apa pun yang tidak boleh hilang. Padukan enkripsi dengan cadangan Anda sendiri. Untuk pertanyaan yang lebih luas tentang apa itu VPS privat dan apa yang bukan, lihat [Apa yang membuat VPS berfokus pada privasi?](https://gloamport.com/id/privacy-focused-vps/ "Apa yang membuat VPS berfokus pada privasi?").

## Paket Gloamport mana yang cocok untuk volume terenkripsi?

Gloam adalah ukuran yang nyaman: ia memiliki 2 vCPU, 4 GB RAM, dan 80 GB NVMe penyimpanan, dan Gloamport mencantumkannya untuk "Server Matrix, Vaultwarden, dan SearXNG sekaligus". Enkripsi memakan sebagian CPU, jadi inti kedua membantu.

Menurut survei Gloamport terhadap 10 November 2026, harga median VPS 2 vCPU, 4 GB yang sepadan di antara 29 penyedia adalah $31.29 per bulan. Gloam adalah $8.25 per bulan pada 12 bulan dan $16.50 pada 1 bulan.

## Bagaimana cara mengenkripsi volume di VPS dengan LUKS, langkah demi langkah?

Tujuh langkah untuk volume data yang disimpan dalam sebuah file. Perintah yang sama berlaku pada perangkat blok.

1. **Pasang cryptsetup** — Jalankan apt install cryptsetup sebagai root.
2. **Buat file kontainer** — Alokasikan file dengan ukuran yang Anda butuhkan. cryptsetup memetakan file biasa ke perangkat loop secara otomatis.
3. **Format sebagai LUKS2** — Jalankan cryptsetup --type luks2 luksFormat pada file dan pilih passphrase yang panjang. Ini menghapus apa pun di dalam file.
4. **Cadangkan header** — Jalankan luksHeaderBackup dan simpan file itu jauh dari VPS. Header yang rusak akan menghilangkan semuanya.
5. **Buka volume** — Jalankan cryptsetup open dengan nama pemetaan. Sebuah perangkat muncul di bawah /dev/mapper/.
6. **Buat sistem berkas dan pasang** — Jalankan mkfs.ext4 pada perangkat yang dipetakan, buat folder, dan pasang.
7. **Tutup saat Anda selesai** — Lepas pasang, lalu cryptsetup close, yang menghapus pemetaan dan membersihkan kunci dari memori kernel.

## Apa perintah LUKS yang tepat?

Perintah di bawah mengikuti manual cryptsetup. `luksFormat` menginisialisasi volume dan menetapkan passphrase pertama, `open` membuat pemetaan, `luksDump` menampilkan header, dan `luksHeaderBackup` menyimpan cadangan biner dari header dan area slot kunci. Manual menyatakan bahwa jika header volume LUKS rusak, semua data hilang secara permanen kecuali Anda memiliki cadangan header.

*Buat dan format kontainer*

```bash
apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header
```

*Buka, format, dan pasang*

```bash
cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault
```

*Tutup*

```bash
umount /mnt/vault
cryptsetup close vault
```

## Bisakah saya membuka kunci disk root terenkripsi dari jauh dengan dropbear-initramfs?

Bisa, jika sistem boot dari root terenkripsi, server SSH kecil di initramfs dapat menerima passphrase sebelum sistem berkas root dipasang. Ini memerlukan instalasi yang Anda siapkan dengan root terenkripsi, yang merupakan pekerjaan lebih besar daripada volume data di atas, jadi anggap ini sebagai langkah lanjutan dan periksa apakah image dan proses boot Anda mengizinkannya.

Paket Debian `dropbear-initramfs` menyediakan akses SSH di dalam RAM filesystem awal, misalnya untuk membuka kunci disk terenkripsi. Dokumentasinya menempatkan kunci publik Anda di `/etc/dropbear/initramfs/authorized_keys` dan opsi di `/etc/dropbear/initramfs/dropbear.conf`, dan menyarankan untuk menjalankan `update-initramfs -u -k all` setelah mengubahnya. Ia juga menyarankan untuk tidak menggunakan ulang kunci host SSH utama, karena `/boot` biasanya tidak terenkripsi.

*Pasang dan terapkan server SSH initramfs*

```bash
apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all
```

*Opsional: dengarkan di port lain (dropbear.conf)*

```text
DROPBEAR_OPTIONS="-p 2222"
```

> **Uji sebelum Anda mengandalkannya** Simpan jalur masuk kedua dan uji pembukaan kunci di VPS cadangan terlebih dahulu. Initramfs yang salah atau passphrase yang hilang dapat membuat mesin menunggu saat boot. Gunakan port SSH atau berkas known-hosts yang berbeda untuk langkah pembukaan kunci, karena kunci host-nya berbeda dari server utama.

## Bagaimana cara menjaga VPS terenkripsi tetap dapat digunakan dari waktu ke waktu?

Cadangkan header, tuliskan passphrase secara offline, dan simpan salinan data Anda sendiri, karena paket tidak memiliki cadangan. Manual cryptsetup menyatakan bahwa cadangan juga wajib untuk data terenkripsi, jika data itu bernilai.

Kunci pintu depan juga. [Bagaimana cara memperkuat SSH di VPS baru?](https://gloamport.com/id/guides/how-to-harden-ssh-on-a-vps/ "Bagaimana cara mengamankan SSH di VPS baru?") membahasnya, dan [Bagaimana cara membuat kunci SSH untuk VPS saya?](https://gloamport.com/id/guides/how-to-generate-an-ssh-key/ "Bagaimana cara membuat kunci SSH untuk VPS saya?") membahas kuncinya. Paket dan masa ada di [halaman harga](https://gloamport.com/id/pricing/ "Berapa harga VPS Gloamport?").

**Ringkasan**

- LUKS2 mengenkripsi data saat diam di VPS dengan virtualisasi KVM penuh.
- Ia tidak menyembunyikan VPS yang berjalan dari host, yang dapat membaca RAM.
- `cryptsetup --type luks2 luksFormat` membuat volume; `open` dan `close` mengelolanya.
- Cadangkan header dengan `luksHeaderBackup`: header yang rusak menghilangkan semua data.
- `dropbear-initramfs` memungkinkan pembukaan kunci jarak jauh untuk root terenkripsi.
- Gloam (2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic) berharga $8.25 per bulan pada 12 bulan.

## LUKS di VPS: pertanyaan umum

### Bisakah host VPS membaca data LUKS saya?

Tidak dari disk, tetapi ya saat volume terbuka, karena kunci dan data berada di memori yang dapat dibaca host. LUKS melindungi data saat diam.

### Bisakah saya menggunakan file alih-alih partisi?

Bisa. Manual cryptsetup menyatakan bahwa jika argumen perangkat berupa file, cryptsetup mencoba mengalokasikan perangkat loopback dan memetakannya ke file itu.

### Apa yang terjadi jika saya lupa passphrase?

Data tidak dapat dibaca. Simpan passphrase dengan aman dan buat cadangan header, karena header yang rusak juga menghilangkan semuanya.

### Apa yang dilakukan dropbear-initramfs?

Ia menjalankan server SSH kecil di dalam RAM filesystem awal sehingga Anda dapat membuka kunci disk root terenkripsi saat boot dari mesin lain.

### Apakah Gloamport menyertakan cadangan?

Tidak ada paket yang menyertakan cadangan, jadi simpan salinan Anda sendiri atas apa pun yang tidak boleh hilang.

## Sumber

1. [Halaman manual cryptsetup(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup.8.en.html) — Debian (checked 2026-11-10)
2. [Halaman manual cryptsetup-luksFormat(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup-luksFormat.8.en.html) — Debian (checked 2026-11-10)
3. [README dropbear-initramfs](https://salsa.debian.org/debian/dropbear/-/raw/debian/latest/debian/README.initramfs) — Debian (checked 2026-11-10)
4. [Paket dropbear-initramfs (trixie)](https://packages.debian.org/trixie/dropbear-initramfs) — Debian (checked 2026-11-10)

---

Gloamport: Gloamport adalah penyedia VPS yang menjual server KVM Linux tanpa KYC, dipesan dengan nomor akun dan dibayar dengan kripto, Monero lebih dulu; dioperasikan oleh DomaineGoat LLC, perusahaan terdaftar di Panama. Pesanan meminta paket, koin, dan hanya jika Anda menginginkannya, alamat email: tanpa nama, tanpa alamat pos, tanpa nomor telepon, dan tanpa dokumen identitas. Untuk masa 12 bulan, setiap paket dihargai setidaknya 25% lebih rendah dari paket pembanding bernama dari survei terhadap 38 penyedia VPS kripto tanpa KYC, dibaca pada 10 November 2026.