Czy można zaszyfrować dysk VPS przez LUKS?

Co naprawdę daje szyfrowanie dysku VPS przez LUKS?

LUKS daje szyfrowanie w spoczynku: ktokolwiek skopiuje dysk bez hasła, dostaje szum. Nie daje ochrony przed hostem, gdy VPS działa, bo odblokowany klucz znajduje się w pamięci, którą hypervisor może odczytać.

Dlatego uczciwe przedstawienie ma znaczenie. Gloamport podaje, że Pełna wirtualizacja KVM: własne jądro, własne reguły zapory i własne szyfrowanie dysku, o ile zostanie skonfigurowane, co umożliwia LUKS, i że Żaden plan nie obejmuje kopii zapasowych: własną kopię tego, czego nie można stracić, trzeba przechowywać osobno. Szyfrowanie łączy się z własnymi kopiami zapasowymi. Szersze pytanie o to, czym prywatny VPS jest, a czym nie, opisuje Co czyni VPS nastawionym na prywatność?.

Który plan Gloamport pasuje do zaszyfrowanego woluminu?

Gloam to wygodny rozmiar: ma 2 vCPU, 4 GB pamięci RAM i 80 GB NVMe miejsca na dane, a Gloamport podaje go jako „Serwer Matrix, Vaultwarden i SearXNG razem”. Szyfrowanie zużywa trochę procesora, więc drugi rdzeń pomaga.

Według badania Gloamport z 10 listopada 2026 mediana ceny porównywalnego VPS 2 vCPU, 4 GB w 29 hostów wynosiła $31.29 miesięcznie. Gloam kosztuje $8.25 miesięcznie przy 12 miesiącach i $16.50 przy 1 miesiącu.

Jakie są dokładne polecenia LUKS?

Poniższe polecenia są zgodne z podręcznikiem cryptsetup. luksFormat inicjalizuje wolumin i ustawia pierwsze hasło, open tworzy mapowanie, luksDump wyświetla nagłówek, a luksHeaderBackup zapisuje binarną kopię nagłówka i obszaru slotów kluczy. Podręcznik mówi, że jeśli nagłówek woluminu LUKS jest uszkodzony, wszystkie dane są trwale stracone, chyba że istnieje kopia nagłówka.

apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header

cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault

umount /mnt/vault
cryptsetup close vault

Czy zaszyfrowany dysk root można odblokować zdalnie przez dropbear-initramfs?

Tak, jeśli system startuje z zaszyfrowanego roota, mały serwer SSH w initramfs może przyjąć hasło, zanim zostanie zamontowany system plików root. Wymaga to instalacji przygotowanej z zaszyfrowanym rootem, co jest większym zadaniem niż wolumin danych powyżej, więc traktuje się to jako krok zaawansowany i sprawdza, czy obraz oraz proces startu na to pozwalają.

Pakiet Debian dropbear-initramfs zapewnia dostęp SSH wewnątrz początkowego systemu plików w RAM, na przykład do odblokowywania zaszyfrowanych dysków. Jego dokumentacja umieszcza klucze publiczne w /etc/dropbear/initramfs/authorized_keys, a opcje w /etc/dropbear/initramfs/dropbear.conf, i mówi, by uruchomić update-initramfs -u -k all po ich zmianie. Zaleca też, by nie używać ponownie głównych kluczy hosta SSH, ponieważ /boot jest zwykle niezaszyfrowany.

apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all

DROPBEAR_OPTIONS="-p 2222"

Jak utrzymać zaszyfrowany VPS w użyciu z czasem?

Kopia nagłówka, hasło zapisane offline i własna kopia danych, bo plan nie ma kopii zapasowych. Podręcznik cryptsetup mówi, że kopia zapasowa jest obowiązkowa także dla danych zaszyfrowanych, jeśli dane mają jakąkolwiek wartość.

Zamyka się też drzwi wejściowe. Jak zabezpieczyć SSH na nowym VPS? to omawia, a Jak wygenerować klucz SSH dla VPS? dotyczy klucza. Plany i okresy są na stronie cennika.