# Czy można zaszyfrować dysk VPS przez LUKS?

> Tak: LUKS2 szyfruje wolumin na VPS, ale host widzi pamięć RAM. Gloam, 2 vCPU i 4 GB, kosztuje $8.25 miesięcznie przy 12 miesiącach.

- URL: https://gloamport.com/pl/guides/how-to-encrypt-a-vps-disk-with-luks/
- Ostatnia aktualizacja: 2026-11-10
- Wydawca: Gloamport (https://gloamport.com)

LUKS chroni dane w spoczynku. Nie ukrywa działającego VPS przed maszyną, na której działa, a ta strona mówi, gdzie leży granica.

**Krótka odpowiedź — Czy można zaszyfrować dysk VPS przez LUKS?**

Tak, dysk VPS można zaszyfrować przez LUKS, ponieważ Gloamport daje pełną wirtualizację KVM z własnym jądrem. Wolumin tworzy się poleceniem cryptsetup luksFormat, otwiera, formatuje i montuje. Plan Gloam, 2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic, kosztuje $8.25 miesięcznie przy 12 miesiącach.

## Co LUKS chroni na VPS, a czego nie chroni?

| Sytuacja | Chronione przez LUKS? | Dlaczego |
| --- | --- | --- |
| Kopia obrazu dysku lub migawka | Tak | Dane na dysku to szyfrogram bez hasła |
| VPS wyłączony | Tak | Klucz nie znajduje się w pamięci |
| Działający VPS z otwartym woluminem | Nie | Klucz i tekst jawny są w pamięci RAM, którą maszyna hosta może odczytać |
| Ktoś z rootem wewnątrz VPS | Nie | Widzi zamontowany wolumin |
| Zagubione hasło lub uszkodzony nagłówek | Nie | Dane są stracone, chyba że wykonano kopię nagłówka |

Ograniczenie pamięci RAM wynika z wirtualizacji, a nie z Gloamport: każdy host może odczytać pamięć gości, które uruchamia.

## Co naprawdę daje szyfrowanie dysku VPS przez LUKS?

LUKS daje szyfrowanie w spoczynku: ktokolwiek skopiuje dysk bez hasła, dostaje szum. Nie daje ochrony przed hostem, gdy VPS działa, bo odblokowany klucz znajduje się w pamięci, którą hypervisor może odczytać.

Dlatego uczciwe przedstawienie ma znaczenie. Gloamport podaje, że Pełna wirtualizacja KVM: własne jądro, własne reguły zapory i własne szyfrowanie dysku, o ile zostanie skonfigurowane, co umożliwia LUKS, i że Żaden plan nie obejmuje kopii zapasowych: własną kopię tego, czego nie można stracić, trzeba przechowywać osobno. Szyfrowanie łączy się z własnymi kopiami zapasowymi. Szersze pytanie o to, czym prywatny VPS jest, a czym nie, opisuje [Co czyni VPS nastawionym na prywatność?](https://gloamport.com/pl/privacy-focused-vps/ "Co sprawia, że VPS jest nastawiony na prywatność?").

## Który plan Gloamport pasuje do zaszyfrowanego woluminu?

Gloam to wygodny rozmiar: ma 2 vCPU, 4 GB pamięci RAM i 80 GB NVMe miejsca na dane, a Gloamport podaje go jako „Serwer Matrix, Vaultwarden i SearXNG razem”. Szyfrowanie zużywa trochę procesora, więc drugi rdzeń pomaga.

Według badania Gloamport z 10 listopada 2026 mediana ceny porównywalnego VPS 2 vCPU, 4 GB w 29 hostów wynosiła $31.29 miesięcznie. Gloam kosztuje $8.25 miesięcznie przy 12 miesiącach i $16.50 przy 1 miesiącu.

## Jak krok po kroku zaszyfrować wolumin na VPS przez LUKS?

Siedem kroków dla woluminu danych przechowywanego w pliku. Te same polecenia działają na urządzeniu blokowym.

1. **Instalacja cryptsetup** — Uruchamia się apt install cryptsetup jako root.
2. **Utworzenie pliku kontenera** — Przydziela się plik o potrzebnym rozmiarze. cryptsetup sam mapuje zwykły plik na urządzenie pętli.
3. **Formatowanie jako LUKS2** — Uruchamia się cryptsetup --type luks2 luksFormat na pliku i wybiera długie hasło. To kasuje wszystko, co jest w pliku.
4. **Kopia zapasowa nagłówka** — Uruchamia się luksHeaderBackup i przechowuje plik poza VPS. Uszkodzony nagłówek w przeciwnym razie oznacza utratę wszystkiego.
5. **Otwarcie woluminu** — Uruchamia się cryptsetup open z nazwą mapowania. Urządzenie pojawia się w /dev/mapper/.
6. **Utworzenie systemu plików i montowanie** — Uruchamia się mkfs.ext4 na zmapowanym urządzeniu, tworzy katalog i montuje go.
7. **Zamknięcie po zakończeniu** — Odmontowanie, a potem cryptsetup close, co usuwa mapowanie i kasuje klucz z pamięci jądra.

## Jakie są dokładne polecenia LUKS?

Poniższe polecenia są zgodne z podręcznikiem cryptsetup. `luksFormat` inicjalizuje wolumin i ustawia pierwsze hasło, `open` tworzy mapowanie, `luksDump` wyświetla nagłówek, a `luksHeaderBackup` zapisuje binarną kopię nagłówka i obszaru slotów kluczy. Podręcznik mówi, że jeśli nagłówek woluminu LUKS jest uszkodzony, wszystkie dane są trwale stracone, chyba że istnieje kopia nagłówka.

*Utworzenie i sformatowanie kontenera*

```bash
apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header
```

*Otwarcie, formatowanie i montowanie*

```bash
cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault
```

*Zamknięcie*

```bash
umount /mnt/vault
cryptsetup close vault
```

## Czy zaszyfrowany dysk root można odblokować zdalnie przez dropbear-initramfs?

Tak, jeśli system startuje z zaszyfrowanego roota, mały serwer SSH w initramfs może przyjąć hasło, zanim zostanie zamontowany system plików root. Wymaga to instalacji przygotowanej z zaszyfrowanym rootem, co jest większym zadaniem niż wolumin danych powyżej, więc traktuje się to jako krok zaawansowany i sprawdza, czy obraz oraz proces startu na to pozwalają.

Pakiet Debian `dropbear-initramfs` zapewnia dostęp SSH wewnątrz początkowego systemu plików w RAM, na przykład do odblokowywania zaszyfrowanych dysków. Jego dokumentacja umieszcza klucze publiczne w `/etc/dropbear/initramfs/authorized_keys`, a opcje w `/etc/dropbear/initramfs/dropbear.conf`, i mówi, by uruchomić `update-initramfs -u -k all` po ich zmianie. Zaleca też, by nie używać ponownie głównych kluczy hosta SSH, ponieważ `/boot` jest zwykle niezaszyfrowany.

*Instalacja i zastosowanie serwera SSH w initramfs*

```bash
apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all
```

*Opcjonalnie: nasłuch na innym porcie (dropbear.conf)*

```text
DROPBEAR_OPTIONS="-p 2222"
```

> **Test przed poleganiem na tym** Zachowuje się drugą drogę dostępu i najpierw testuje odblokowanie na zapasowym VPS. Błędny initramfs lub zagubione hasło mogą zostawić maszynę czekającą przy starcie. Do kroku odblokowania używa się innego portu SSH albo pliku known-hosts, ponieważ jej klucze hosta różnią się od kluczy głównego serwera.

## Jak utrzymać zaszyfrowany VPS w użyciu z czasem?

Kopia nagłówka, hasło zapisane offline i własna kopia danych, bo plan nie ma kopii zapasowych. Podręcznik cryptsetup mówi, że kopia zapasowa jest obowiązkowa także dla danych zaszyfrowanych, jeśli dane mają jakąkolwiek wartość.

Zamyka się też drzwi wejściowe. [Jak zabezpieczyć SSH na nowym VPS?](https://gloamport.com/pl/guides/how-to-harden-ssh-on-a-vps/ "Jak zabezpieczyć SSH na nowym VPS?") to omawia, a [Jak wygenerować klucz SSH dla VPS?](https://gloamport.com/pl/guides/how-to-generate-an-ssh-key/ "Jak wygenerować klucz SSH dla VPS?") dotyczy klucza. Plany i okresy są na [stronie cennika](https://gloamport.com/pl/pricing/ "Ile kosztuje serwer VPS Gloamport?").

**Podsumowanie**

- LUKS2 szyfruje dane w spoczynku na VPS z pełną wirtualizacją KVM.
- Nie ukrywa działającego VPS przed hostem, który może odczytać pamięć RAM.
- `cryptsetup --type luks2 luksFormat` tworzy wolumin; `open` i `close` nim zarządzają.
- Kopię nagłówka wykonuje się poleceniem `luksHeaderBackup`: uszkodzony nagłówek oznacza utratę wszystkich danych.
- `dropbear-initramfs` umożliwia zdalne odblokowanie zaszyfrowanego roota.
- Gloam (2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic) kosztuje $8.25 miesięcznie przy 12 miesiącach.

## LUKS na VPS: najczęstsze pytania

### Czy host VPS może odczytać dane zaszyfrowane przez LUKS?

Nie z dysku, ale tak, gdy wolumin jest otwarty, bo klucz i dane są w pamięci, którą host może odczytać. LUKS chroni dane w spoczynku.

### Czy można użyć pliku zamiast partycji?

Tak. Podręcznik cryptsetup mówi, że jeśli argumentem urządzenia jest plik, cryptsetup próbuje przydzielić urządzenie pętli zwrotnej i zmapować je na ten plik.

### Co się stanie, jeśli zapomni się hasła?

Danych nie da się odczytać. Hasło trzeba bezpiecznie przechowywać i wykonać kopię nagłówka, bo uszkodzony nagłówek też oznacza utratę wszystkiego.

### Co robi dropbear-initramfs?

Uruchamia mały serwer SSH wewnątrz początkowego systemu plików w RAM, dzięki czemu zaszyfrowany dysk root można odblokować przy starcie z innej maszyny.

### Czy Gloamport zawiera kopie zapasowe?

Żaden plan nie obejmuje kopii zapasowych, więc własną kopię tego, czego nie można stracić, trzeba przechowywać osobno.

## Źródła

1. [Strona podręcznika cryptsetup(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup.8.en.html) — Debian (checked 2026-11-10)
2. [Strona podręcznika cryptsetup-luksFormat(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup-luksFormat.8.en.html) — Debian (checked 2026-11-10)
3. [dropbear-initramfs README](https://salsa.debian.org/debian/dropbear/-/raw/debian/latest/debian/README.initramfs) — Debian (checked 2026-11-10)
4. [Pakiet dropbear-initramfs (trixie)](https://packages.debian.org/trixie/dropbear-initramfs) — Debian (checked 2026-11-10)

---

Gloamport: Gloamport to dostawca VPS, który sprzedaje serwery Linux KVM bez KYC. Zamówienie składa się na numer konta i opłaca kryptowalutą, przede wszystkim Monero; firmę prowadzi DomaineGoat LLC, spółka zarejestrowana w Panamie. Zamówienie wymaga wyboru planu, monety i, tylko jeśli ktoś tego chce, adresu e-mail: bez imienia i nazwiska, bez adresu pocztowego, bez telefonu i bez dokumentu tożsamości. Przy okresie 12 miesięcy każdy plan kosztuje co najmniej o 25% mniej niż wskazany porównywalny plan z badania 38 hostów VPS płatnych kryptowalutami bez KYC, odczytanego 10 listopada 2026.