빠른 답변
VPS 디스크를 LUKS로 암호화할 수 있나요?
네, LUKS로 VPS 디스크를 암호화할 수 있습니다. Gloamport는 고유 커널을 쓰는 완전한 KVM 가상화를 제공하기 때문입니다. cryptsetup luksFormat으로 볼륨을 만든 뒤, 열고, 포맷하고, 마운트하십시오. Gloam 요금제 2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic는 12개월 기간 기준 월 $8.25입니다.
LUKS는 VPS에서 무엇을 보호하고, 무엇을 보호하지 않나요?
| 상황 | LUKS로 보호되나요? | 이유 |
|---|---|---|
| 디스크 이미지나 스냅샷의 사본 | 예 | 암호 없이는 디스크의 데이터가 암호문입니다 |
| 전원이 꺼진 VPS | 예 | 키가 메모리에 없습니다 |
| 볼륨이 열린 상태로 실행 중인 VPS | 아니요 | 키와 평문이 RAM에 있으며, 호스트 기계가 이를 읽을 수 있습니다 |
| VPS 안에서 root 권한을 가진 사람 | 아니요 | 마운트된 볼륨이 보입니다 |
| 잃어버린 암호 또는 손상된 헤더 | 아니요 | 헤더 백업을 만들지 않았다면 데이터가 손실됩니다 |
RAM 한계는 Gloamport가 아니라 가상화의 특성입니다. 어떤 호스트든 자신이 실행하는 게스트의 메모리를 읽을 수 있습니다.
VPS 디스크를 LUKS로 암호화하면 실제로 무엇을 얻나요?
LUKS는 저장 중 암호화를 제공합니다. 암호 없이 디스크를 복사한 사람은 잡음만 얻습니다. 그러나 VPS가 실행되는 동안에는 호스트로부터 보호하지 못합니다. 잠금 해제된 키가 하이퍼바이저가 읽을 수 있는 메모리에 있기 때문입니다.
그래서 정직한 설명이 중요합니다. Gloamport는 완전한 KVM 가상화: 직접 설정하신다면 고유 커널, 고유 방화벽 규칙, 고유 디스크 암호화를 사용할 수 있습니다라고 밝히며, 이것이 LUKS를 가능하게 하고, 백업이 포함된 요금제는 없습니다. 잃으면 안 되는 자료는 직접 사본을 보관하십시오라고도 밝힙니다. 암호화와 함께 자체 백업을 쓰십시오. 사설 VPS가 무엇이고 무엇이 아닌지에 관한 더 넓은 질문은 프라이버시 중심 VPS란 무엇인가요?에서 보실 수 있습니다.
암호화된 볼륨에는 어떤 Gloamport 요금제가 맞나요?
Gloam은 적당한 크기입니다. vCPU 2개, RAM 4 GB, 저장 공간 80GB NVMe를 가지며, Gloamport는 이를 "Matrix 서버, Vaultwarden, SearXNG를 함께 운영"용으로 나열합니다. 암호화에는 CPU가 일부 필요하므로 코어 하나가 더 있으면 도움이 됩니다.
Gloamport의 2026년 11월 10일 조사에 따르면, 29개 업체에 걸친 비교 가능한 2 vCPU, 4 GB VPS의 중앙값은 월 $31.29이었습니다. Gloam은 12개월 기준 월 $8.25이며, 1개월 기준으로는 $16.50입니다.
VPS의 볼륨을 LUKS로 암호화하려면 단계별로 어떻게 하나요?
파일에 담긴 데이터 볼륨을 기준으로 일곱 단계입니다. 같은 명령을 블록 장치에도 쓸 수 있습니다.
cryptsetup 설치하기
root로
apt install cryptsetup를 실행하십시오.컨테이너 파일 만들기
필요한 크기의 파일을 할당하십시오. cryptsetup은 일반 파일을 스스로 loop 장치에 연결합니다.
LUKS2로 포맷하기
파일에 대해
cryptsetup --type luks2 luksFormat를 실행하고 긴 암호를 고르십시오. 파일의 내용은 모두 지워집니다.헤더 백업하기
luksHeaderBackup를 실행하고 그 파일을 VPS 밖에 보관하십시오. 헤더가 손상되면 그렇지 않을 경우 모든 것을 잃습니다.볼륨 열기
매핑 이름과 함께
cryptsetup open를 실행하십시오. /dev/mapper/ 아래에 장치가 나타납니다.파일 시스템 만들고 마운트하기
매핑된 장치에 대해
mkfs.ext4를 실행하고, 폴더를 만든 뒤 마운트하십시오.다 쓰고 나서 닫기
마운트를 해제한 다음
cryptsetup close를 실행하십시오. 이 명령은 매핑을 제거하고 커널 메모리에서 키를 지웁니다.
정확한 LUKS 명령은 무엇인가요?
아래 명령은 cryptsetup 매뉴얼을 따릅니다. luksFormat는 볼륨을 초기화하고 첫 암호를 설정하며, open는 매핑을 만들고, luksDump는 헤더를 출력하며, luksHeaderBackup는 헤더와 키 슬롯 영역의 이진 백업을 저장합니다. 매뉴얼에 따르면, LUKS 볼륨의 헤더가 손상되면 헤더 백업이 없는 한 모든 데이터가 영구히 손실됩니다.
apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.headercryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vaultumount /mnt/vault
cryptsetup close vaultdropbear-initramfs로 암호화된 루트 디스크를 원격에서 잠금 해제할 수 있나요?
네. 시스템이 암호화된 루트로 부팅한다면, initramfs의 작은 SSH 서버가 루트 파일 시스템이 마운트되기 전에 암호를 받을 수 있습니다. 이를 위해서는 암호화된 루트로 설치해 둔 시스템이 필요하며, 이는 위의 데이터 볼륨보다 큰 작업이므로 고급 단계로 다루고 이미지와 부팅 과정이 이를 허용하는지 확인하십시오.
Debian 패키지 dropbear-initramfs는 초기 RAM 파일 시스템 안에 SSH 접속을 제공하며, 예를 들어 암호화된 디스크를 잠금 해제하는 데 쓰입니다. 문서에 따르면 공개키는 /etc/dropbear/initramfs/authorized_keys에, 옵션은 /etc/dropbear/initramfs/dropbear.conf에 두고, 바꾼 뒤에는 update-initramfs -u -k all를 실행하라고 합니다. 또한 /boot는 보통 암호화되지 않으므로, 주 SSH 호스트 키를 재사용하지 말라고 권고합니다.
apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k allDROPBEAR_OPTIONS="-p 2222"암호화된 VPS를 시간이 지나도 쓸 수 있게 유지하려면 어떻게 하나요?
헤더를 백업하고, 암호를 오프라인에 적어 두며, 계획에는 백업이 없으므로 데이터의 사본을 직접 보관하십시오. cryptsetup 매뉴얼은 가치가 있는 데이터라면 암호화된 데이터에도 백업이 필수라고 말합니다.
문도 잠그십시오. 새 VPS에서 SSH를 어떻게 강화하나요?에서 다루며, VPS용 SSH 키는 어떻게 생성하나요?에서 키를 설명합니다. 요금제와 기간은 가격 페이지에 있습니다.
요약
- LUKS2는 완전한 KVM 가상화를 쓰는 VPS에서 저장된 데이터를 암호화합니다.
- RAM을 읽을 수 있는 호스트로부터 실행 중인 VPS를 숨기지는 못합니다.
cryptsetup --type luks2 luksFormat는 볼륨을 만들고,open와close는 그것을 관리합니다.luksHeaderBackup로 헤더를 백업하십시오. 헤더가 손상되면 모든 데이터를 잃습니다.dropbear-initramfs는 암호화된 루트를 원격에서 잠금 해제하는 것을 허용합니다.- Gloam(2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic)은 12개월 기간 기준 월 $8.25입니다.
VPS의 LUKS: 자주 묻는 질문
VPS 호스트가 LUKS로 암호화된 제 데이터를 읽을 수 있나요?
디스크에서는 읽을 수 없지만, 볼륨이 열려 있는 동안에는 가능합니다. 키와 데이터가 호스트가 읽을 수 있는 메모리에 있기 때문입니다. LUKS는 저장된 데이터를 보호합니다.
파티션 대신 파일을 쓸 수 있나요?
네. cryptsetup 매뉴얼은 장치 인자가 파일이면 cryptsetup이 루프백 장치를 할당하고 그 파일에 연결하려고 시도한다고 말합니다.
암호를 잊어버리면 어떻게 되나요?
데이터를 읽을 수 없습니다. 암호를 안전하게 보관하고 헤더 백업을 만들어 두십시오. 헤더가 손상되면 역시 모든 것을 잃기 때문입니다.
dropbear-initramfs는 무엇을 하나요?
초기 RAM 파일 시스템 안에서 작은 SSH 서버를 시작하므로, 다른 기기에서 부팅 시 암호화된 루트 디스크를 잠금 해제할 수 있습니다.
Gloamport에는 백업이 포함되나요?
어떤 요금제에도 백업이 포함되지 않으므로, 잃으면 안 되는 것은 직접 사본을 보관하십시오.
출처 (4)
- cryptsetup(8) 매뉴얼 페이지 — Debian (checked 2026-11-10)
- cryptsetup-luksFormat(8) 매뉴얼 페이지 — Debian (checked 2026-11-10)
- dropbear-initramfs README — Debian (checked 2026-11-10)
- dropbear-initramfs 패키지(trixie) — Debian (checked 2026-11-10)