Posso criptografar o disco de um VPS com LUKS?

O que criptografar o disco de um VPS com LUKS realmente oferece?

O LUKS oferece criptografia em repouso: quem copiar o disco sem a senha só obtém ruído. Ele não oferece proteção contra o host enquanto o VPS roda, porque a chave desbloqueada fica na memória que o hipervisor pode ler.

É por isso que a formulação honesta importa. A Gloamport declara que Virtualização KVM completa: seu próprio kernel, suas próprias regras de firewall e sua própria criptografia de disco, se você configurar, o que torna o LUKS possível, e que Nenhum plano inclui backups: mantenha sua própria cópia de tudo o que você não pode perder. Combine a criptografia com seus próprios backups. Para a questão mais ampla do que um VPS privado é e não é, veja O que torna um VPS focado em privacidade?.

Qual plano da Gloamport serve para um volume criptografado?

O Gloam é um tamanho confortável: tem 2 vCPU, 4 GB de RAM e 80 GB de NVMe de armazenamento, e a Gloamport o lista para "Um servidor Matrix, Vaultwarden e SearXNG juntos". A criptografia consome um pouco de CPU, então um segundo núcleo ajuda.

Segundo a pesquisa da Gloamport de 10 de novembro de 2026, o preço mediano de um VPS comparável de 2 vCPU e 4 GB entre 29 hosts foi $31.29 por mês. O Gloam custa $8.25 por mês em 12 meses e $16.50 em 1 mês.

Quais são os comandos exatos do LUKS?

Os comandos abaixo seguem o manual do cryptsetup. luksFormat inicializa o volume e define a primeira senha, open cria o mapeamento, luksDump exibe o cabeçalho, e luksHeaderBackup guarda um backup binário do cabeçalho e da área de slots de chave. O manual diz que, se o cabeçalho de um volume LUKS for danificado, todos os dados se perdem de forma permanente, a menos que você tenha um backup do cabeçalho.

apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header

cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault

umount /mnt/vault
cryptsetup close vault

Posso desbloquear remotamente um disco raiz criptografado com dropbear-initramfs?

Sim, se o sistema inicializa a partir de uma raiz criptografada, um pequeno servidor SSH no initramfs pode receber a senha antes de o sistema de arquivos raiz ser montado. Isso exige uma instalação feita com raiz criptografada, um trabalho maior que o volume de dados acima; trate-o como um passo avançado e confira se sua imagem e seu processo de boot permitem.

O pacote Debian dropbear-initramfs oferece acesso SSH dentro do sistema de arquivos inicial na RAM, por exemplo para desbloquear discos criptografados. A documentação dele coloca suas chaves públicas em /etc/dropbear/initramfs/authorized_keys e as opções em /etc/dropbear/initramfs/dropbear.conf, e manda rodar update-initramfs -u -k all depois de alterá-las. Ela também aconselha não reutilizar as chaves SSH principais do host, porque /boot geralmente não é criptografado.

apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all

DROPBEAR_OPTIONS="-p 2222"

Como mantenho um VPS criptografado utilizável com o tempo?

Faça backup do cabeçalho, anote a senha offline e mantenha sua própria cópia dos dados, já que o plano não tem backups. O manual do cryptsetup diz que o backup também é obrigatório para dados criptografados, se os dados tiverem algum valor.

Tranque a porta da frente também. Como endurecer o SSH em um VPS novo? cobre isso, e Como gero uma chave SSH para o meu VPS? cobre a chave. Os planos e os prazos estão em a página de preços.