Kan ik een VPS-schijf versleutelen met LUKS?

Wat geeft het versleutelen van een VPS-schijf met LUKS echt?

LUKS geeft versleuteling in rust: wie de schijf kopieert zonder de wachtzin, krijgt ruis. Het biedt geen bescherming tegen de host terwijl de VPS draait, omdat de ontsleutelde sleutel in geheugen zit dat de hypervisor kan lezen.

Daarom is de eerlijke omschrijving belangrijk. Gloamport stelt dat Volledige KVM-virtualisatie: uw eigen kernel, uw eigen firewallregels en uw eigen schijfversleuteling als u die instelt, wat LUKS mogelijk maakt, en dat Geen enkel plan bevat back-ups: bewaar zelf een kopie van alles wat u niet kunt missen. Combineer versleuteling met uw eigen back-ups. Voor de bredere vraag wat een privé-VPS wel en niet is, zie Wat maakt een VPS gericht op privacy?.

Welk Gloamport-plan past bij een versleuteld volume?

Gloam is een comfortabele maat: het heeft 2 vCPU, 4 GB RAM en 80 GB NVMe opslag, en Gloamport noemt het voor "Een Matrix-server, Vaultwarden en SearXNG samen". Versleuteling kost wat CPU, dus een tweede kern helpt.

Volgens het onderzoek van Gloamport van 10 november 2026 was de mediane prijs van een vergelijkbare VPS met 2 vCPU en 4 GB, gemeten over 29 hosts, $31.29 per maand. Gloam kost $8.25 per maand op 12 maanden en $16.50 op 1 maand.

Wat zijn de exacte LUKS-commando's?

De onderstaande commando's volgen de handleiding van cryptsetup. luksFormat initialiseert het volume en stelt de eerste wachtzin in, open maakt de koppeling, luksDump toont de header, en luksHeaderBackup bewaart een binaire back-up van de header en het gebied met de sleuven. De handleiding zegt dat als de header van een LUKS-volume beschadigd is, alle gegevens definitief verloren zijn, tenzij u een back-up van de header hebt.

apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header

cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault

umount /mnt/vault
cryptsetup close vault

Kan ik een versleutelde rootschijf op afstand ontgrendelen met dropbear-initramfs?

Ja, als het systeem opstart vanaf een versleutelde root, kan een kleine SSH-server in de initramfs de wachtzin aannemen voordat het root-bestandssysteem wordt gekoppeld. Dit vereist een installatie die u met een versleutelde root hebt opgezet, wat een grotere klus is dan het datavolume hierboven. Behandel het dus als een geavanceerde stap, en controleer of uw image en opstartproces dit toestaan.

Het Debian-pakket dropbear-initramfs biedt SSH-toegang binnen de initiële RAM-schijf, bijvoorbeeld om versleutelde schijven te ontgrendelen. De documentatie zet uw publieke sleutels in /etc/dropbear/initramfs/authorized_keys en opties in /etc/dropbear/initramfs/dropbear.conf, en zegt dat u update-initramfs -u -k all moet uitvoeren na het wijzigen ervan. Ze adviseert ook om de hoofd-SSH-hostsleutels niet te hergebruiken, omdat /boot meestal niet versleuteld is.

apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all

DROPBEAR_OPTIONS="-p 2222"

Hoe hou ik een versleutelde VPS na verloop van tijd bruikbaar?

Maak een back-up van de header, schrijf de wachtzin offline op, en bewaar uw eigen kopie van de gegevens, omdat het plan geen back-ups heeft. De handleiding van cryptsetup zegt dat back-up ook voor versleutelde gegevens verplicht is, als de gegevens enige waarde hebben.

Vergrendel ook de voordeur. Hoe harden ik SSH op een nieuwe VPS? behandelt dat, en Hoe genereer ik een SSH-sleutel voor mijn VPS? behandelt de sleutel. Plannen en termijnen staan op de prijspagina.