# Kan ik een VPS-schijf versleutelen met LUKS?

> Ja: LUKS2 versleutelt een volume op een VPS, maar de host kan het RAM zien. Gloam, 2 vCPU en 4 GB, kost $8.25 per maand op 12 maanden.

- URL: https://gloamport.com/nl/guides/how-to-encrypt-a-vps-disk-with-luks/
- Laatst bijgewerkt: 2026-11-10
- Uitgever: Gloamport (https://gloamport.com)

LUKS beschermt gegevens in rust. Het verbergt een draaiende VPS niet voor de machine waarop hij draait, en deze pagina zegt waar de grens ligt.

**Snel antwoord — Kan ik een VPS-schijf versleutelen met LUKS?**

Ja, u kunt een VPS-schijf met LUKS versleutelen, omdat Gloamport u volledige KVM-virtualisatie met uw eigen kernel geeft. Maak een volume aan met cryptsetup luksFormat, open het, formatteer het en koppel het. Een Gloam-plan, 2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic, kost $8.25 per maand op 12 maanden.

## Wat beschermt LUKS op een VPS, en wat niet?

| Situatie | Beschermd door LUKS? | Waarom |
| --- | --- | --- |
| Een kopie van de schijfimage of een snapshot | Ja | De gegevens op de schijf zijn onleesbaar zonder de wachtzin |
| Een VPS die uitstaat | Ja | De sleutel staat niet in het geheugen |
| Een VPS die draait met het volume open | Nee | De sleutel en de platte tekst staan in RAM, dat de hostmachine kan lezen |
| Iemand met root in uw VPS | Nee | Die ziet het gekoppelde volume |
| Een verloren wachtwoordzin of een beschadigde header | Nee | Gegevens gaan verloren, tenzij u een back-up van de header hebt gemaakt |

De RAM-beperking is een eigenschap van virtualisatie, niet van Gloamport: elke host kan het geheugen van de gasten die hij draait lezen.

## Wat geeft het versleutelen van een VPS-schijf met LUKS echt?

LUKS geeft versleuteling in rust: wie de schijf kopieert zonder de wachtzin, krijgt ruis. Het biedt geen bescherming tegen de host terwijl de VPS draait, omdat de ontsleutelde sleutel in geheugen zit dat de hypervisor kan lezen.

Daarom is de eerlijke omschrijving belangrijk. Gloamport stelt dat Volledige KVM-virtualisatie: uw eigen kernel, uw eigen firewallregels en uw eigen schijfversleuteling als u die instelt, wat LUKS mogelijk maakt, en dat Geen enkel plan bevat back-ups: bewaar zelf een kopie van alles wat u niet kunt missen. Combineer versleuteling met uw eigen back-ups. Voor de bredere vraag wat een privé-VPS wel en niet is, zie [Wat maakt een VPS gericht op privacy?](https://gloamport.com/nl/privacy-focused-vps/ "Wat maakt een VPS privacygericht?").

## Welk Gloamport-plan past bij een versleuteld volume?

Gloam is een comfortabele maat: het heeft 2 vCPU, 4 GB RAM en 80 GB NVMe opslag, en Gloamport noemt het voor "Een Matrix-server, Vaultwarden en SearXNG samen". Versleuteling kost wat CPU, dus een tweede kern helpt.

Volgens het onderzoek van Gloamport van 10 november 2026 was de mediane prijs van een vergelijkbare VPS met 2 vCPU en 4 GB, gemeten over 29 hosts, $31.29 per maand. Gloam kost $8.25 per maand op 12 maanden en $16.50 op 1 maand.

## Hoe versleutel ik een volume op een VPS met LUKS, stap voor stap?

Zeven stappen voor een datavolume dat in een bestand wordt bewaard. Dezelfde commando's werken op een blokapparaat.

1. **cryptsetup installeren** — Voer apt install cryptsetup uit als root.
2. **Het containerbestand maken** — Reserveer een bestand van de gewenste grootte. cryptsetup koppelt een gewoon bestand zelf aan een loop-apparaat.
3. **Formatteer het als LUKS2** — Voer cryptsetup --type luks2 luksFormat uit op het bestand en kies een lange wachtzin. Dit wist alles wat in het bestand staat.
4. **Maak een back-up van de header** — Voer luksHeaderBackup uit en bewaar het bestand buiten de VPS. Een beschadigde header verliest anders alles.
5. **Het volume openen** — Voer cryptsetup open uit met een koppelnaam. Er verschijnt een apparaat onder /dev/mapper/.
6. **Een bestandssysteem maken en koppelen** — Voer mkfs.ext4 uit op het gekoppelde apparaat, maak een map aan en koppel die.
7. **Sluit het wanneer u klaar bent** — Ontkoppel, en voer daarna cryptsetup close uit, wat de koppeling verwijdert en de sleutel uit het kernelgeheugen wist.

## Wat zijn de exacte LUKS-commando's?

De onderstaande commando's volgen de handleiding van cryptsetup. `luksFormat` initialiseert het volume en stelt de eerste wachtzin in, `open` maakt de koppeling, `luksDump` toont de header, en `luksHeaderBackup` bewaart een binaire back-up van de header en het gebied met de sleuven. De handleiding zegt dat als de header van een LUKS-volume beschadigd is, alle gegevens definitief verloren zijn, tenzij u een back-up van de header hebt.

*Container aanmaken en formatteren*

```bash
apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header
```

*Openen, formatteren en koppelen*

```bash
cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault
```

*Sluiten*

```bash
umount /mnt/vault
cryptsetup close vault
```

## Kan ik een versleutelde rootschijf op afstand ontgrendelen met dropbear-initramfs?

Ja, als het systeem opstart vanaf een versleutelde root, kan een kleine SSH-server in de initramfs de wachtzin aannemen voordat het root-bestandssysteem wordt gekoppeld. Dit vereist een installatie die u met een versleutelde root hebt opgezet, wat een grotere klus is dan het datavolume hierboven. Behandel het dus als een geavanceerde stap, en controleer of uw image en opstartproces dit toestaan.

Het Debian-pakket `dropbear-initramfs` biedt SSH-toegang binnen de initiële RAM-schijf, bijvoorbeeld om versleutelde schijven te ontgrendelen. De documentatie zet uw publieke sleutels in `/etc/dropbear/initramfs/authorized_keys` en opties in `/etc/dropbear/initramfs/dropbear.conf`, en zegt dat u `update-initramfs -u -k all` moet uitvoeren na het wijzigen ervan. Ze adviseert ook om de hoofd-SSH-hostsleutels niet te hergebruiken, omdat `/boot` meestal niet versleuteld is.

*De SSH-server van de initramfs installeren en toepassen*

```bash
apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all
```

*Optioneel: op een andere poort luisteren (dropbear.conf)*

```text
DROPBEAR_OPTIONS="-p 2222"
```

> **Testen voordat u erop vertrouwt** Houd een tweede toegang open en test het ontgrendelen eerst op een reserve-VPS. Een verkeerde initramfs of een verloren wachtwoordzin kan de machine bij het opstarten laten wachten. Gebruik een andere SSH-poort of known_hosts-bestand voor de ontgrendelstap, omdat de hostsleutels daarvan verschillen van die van de hoofdserver.

## Hoe hou ik een versleutelde VPS na verloop van tijd bruikbaar?

Maak een back-up van de header, schrijf de wachtzin offline op, en bewaar uw eigen kopie van de gegevens, omdat het plan geen back-ups heeft. De handleiding van cryptsetup zegt dat back-up ook voor versleutelde gegevens verplicht is, als de gegevens enige waarde hebben.

Vergrendel ook de voordeur. [Hoe harden ik SSH op een nieuwe VPS?](https://gloamport.com/nl/guides/how-to-harden-ssh-on-a-vps/ "Hoe verhard ik SSH op een nieuwe VPS?") behandelt dat, en [Hoe genereer ik een SSH-sleutel voor mijn VPS?](https://gloamport.com/nl/guides/how-to-generate-an-ssh-key/ "Hoe maak ik een SSH-sleutel voor mijn VPS?") behandelt de sleutel. Plannen en termijnen staan op [de prijspagina](https://gloamport.com/nl/pricing/ "Hoeveel kost een VPS van Gloamport?").

**Samengevat**

- LUKS2 versleutelt gegevens in rust op een VPS met volledige KVM-virtualisatie.
- Het verbergt een draaiende VPS niet voor de host, die RAM kan lezen.
- `cryptsetup --type luks2 luksFormat` maakt het volume aan; `open` en `close` beheren het.
- Maak een back-up van de header met `luksHeaderBackup`: een beschadigde header verliest alle gegevens.
- `dropbear-initramfs` maakt het op afstand ontgrendelen van een versleutelde root mogelijk.
- Gloam (2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic) kost $8.25 per maand op 12 maanden.

## LUKS op een VPS: veelgestelde vragen

### Kan de VPS-host mijn met LUKS versleutelde gegevens lezen?

Niet vanaf de schijf, maar wel terwijl het volume open is, omdat de sleutel en de gegevens in geheugen staan dat de host kan lezen. LUKS beschermt gegevens in rust.

### Kan ik een bestand gebruiken in plaats van een partitie?

Ja. De handleiding van cryptsetup zegt dat als het apparaatargument een bestand is, cryptsetup probeert een loopback-apparaat toe te wijzen en dat aan het bestand te koppelen.

### Wat gebeurt er als ik de wachtzin vergeet?

De gegevens kunnen niet worden gelezen. Bewaar de wachtzin veilig en maak een back-up van de header, want een beschadigde header verliest ook alles.

### Wat doet dropbear-initramfs?

Het start een kleine SSH-server binnen de initiële RAM-schijf, zodat u vanaf een andere machine een versleutelde rootschijf bij het opstarten kunt ontgrendelen.

### Heeft Gloamport back-ups inbegrepen?

Geen enkel plan bevat back-ups, dus bewaar zelf een kopie van alles wat u niet kunt missen.

## Bronnen

1. [Handboekpagina cryptsetup(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup.8.en.html) — Debian (checked 2026-11-10)
2. [Handboekpagina cryptsetup-luksFormat(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup-luksFormat.8.en.html) — Debian (checked 2026-11-10)
3. [dropbear-initramfs README](https://salsa.debian.org/debian/dropbear/-/raw/debian/latest/debian/README.initramfs) — Debian (checked 2026-11-10)
4. [dropbear-initramfs-pakket (trixie)](https://packages.debian.org/trixie/dropbear-initramfs) — Debian (checked 2026-11-10)

---

Gloamport: Gloamport is een VPS-aanbieder die Linux KVM-servers verkoopt zonder KYC, besteld met een accountnummer en betaald in crypto, Monero eerst; het wordt beheerd door DomaineGoat LLC, een in Panama geregistreerd bedrijf. Een bestelling vraagt om een plan, een munt en, alleen als u dat wilt, een e-mailadres: geen naam, geen postadres, geen telefoonnummer en geen identiteitsdocument. Op de termijn van 12 maanden ligt elk plan minstens 25% onder een genoemd vergelijkbaar plan uit een onderzoek van 38 crypto-VPS-hosts zonder KYC, gelezen op 10 november 2026.