ฉันเข้ารหัสดิสก์ VPS ด้วย LUKS ได้ไหม?

การเข้ารหัสดิสก์ VPS ด้วย LUKS ให้คุณได้จริง ๆ อะไร?

LUKS ให้การเข้ารหัสขณะพักอยู่: ใครก็ตามที่คัดลอกดิสก์โดยไม่มี passphrase จะได้เพียงข้อมูลที่อ่านไม่ออก มันไม่ได้ให้การป้องกันจากโฮสต์ขณะที่ VPS ทำงาน เพราะคีย์ที่ปลดล็อกแล้วอยู่ในหน่วยความจำที่ไฮเปอร์ไวเซอร์อ่านได้

นี่คือเหตุผลที่กรอบความจริงสำคัญ Gloamport ระบุว่า KVM เต็มรูปแบบ: เคอร์เนลของคุณเอง กฎไฟร์วอลล์ของคุณเอง และการเข้ารหัสดิสก์ของคุณเองหากคุณตั้งค่าไว้ ซึ่งทำให้ LUKS เป็นไปได้ และว่า ไม่มีแพ็กเกจใดรวมการสำรองข้อมูล: ให้เก็บสำเนาของสิ่งที่คุณสูญเสียไม่ได้ไว้เอง จับคู่การเข้ารหัสกับการสำรองข้อมูลของคุณเอง สำหรับคำถามกว้างกว่านี้ว่า VPS ส่วนตัวคืออะไรและไม่ใช่อะไร ดู VPS ที่เน้นความเป็นส่วนตัวมีลักษณะอย่างไร?

แพ็กเกจ Gloamport ไหนเหมาะกับวอลุ่มที่เข้ารหัส?

Gloam มีขนาดที่สบาย: มี vCPU 2 RAM 4 GB และพื้นที่เก็บข้อมูล NVMe 80 GB และ Gloamport ระบุว่าเหมาะกับ "เซิร์ฟเวอร์ Matrix, Vaultwarden และ SearXNG รวมกัน" การเข้ารหัสใช้ CPU บ้าง ดังนั้นคอร์ที่สองช่วยได้

ตามการสำรวจของ Gloamport ที่อ้างถึง 10 พฤศจิกายน 2569 ราคาค่ากลางของ VPS 2 vCPU, 4 GB ที่เทียบเคียงได้ในกลุ่ม 29 โฮสต์ แห่งอยู่ที่ $31.29 ต่อเดือน Gloam คือ $8.25 ต่อเดือนในระยะ 12 เดือน และ $16.50 ในระยะ 1 เดือน

คำสั่ง LUKS ที่แน่นอนมีอะไรบ้าง?

คำสั่งด้านล่างตามคู่มือของ cryptsetup luksFormat เริ่มต้นวอลุ่มและตั้ง passphrase แรก open สร้าง mapping luksDump แสดง header และ luksHeaderBackup เก็บสำเนาไบนารีของ header และพื้นที่ key slot คู่มือระบุว่าหาก header ของวอลุ่ม LUKS เสียหาย ข้อมูลทั้งหมดจะสูญหายถาวร เว้นแต่คุณมีการสำรอง header

apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header

cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault

umount /mnt/vault
cryptsetup close vault

ฉันปลดล็อกดิสก์รูตที่เข้ารหัสจากระยะไกลด้วย dropbear-initramfs ได้ไหม?

ได้ หากระบบบูตจากรูตที่เข้ารหัส SSH server ขนาดเล็กใน initramfs สามารถรับ passphrase ก่อนที่ root filesystem จะถูกเมานต์ ซึ่งต้องใช้การติดตั้งที่คุณตั้งค่าให้มีรูตที่เข้ารหัส เป็นงานที่ใหญ่กว่าวอลุ่มข้อมูลด้านบน ดังนั้นควรถือเป็นขั้นสูงและตรวจว่า image และกระบวนการบูตของคุณอนุญาตหรือไม่

แพ็กเกจ Debian dropbear-initramfs ให้การเข้าถึง SSH ภายใน initial RAM filesystem เช่น เพื่อปลดล็อกดิสก์ที่เข้ารหัส เอกสารของมันวางคีย์สาธารณะของคุณไว้ใน /etc/dropbear/initramfs/authorized_keys และตัวเลือกไว้ใน /etc/dropbear/initramfs/dropbear.conf และระบุให้รัน update-initramfs -u -k all หลังจากเปลี่ยนค่า นอกจากนี้ยังแนะนำไม่ให้ใช้คีย์โฮสต์ SSH หลักซ้ำ เพราะ /boot มักไม่ได้เข้ารหัส

apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all

DROPBEAR_OPTIONS="-p 2222"

ฉันจะทำให้ VPS ที่เข้ารหัสใช้งานได้ต่อเนื่องในระยะยาวอย่างไร?

สำรอง header เขียน passphrase ไว้แบบออฟไลน์ และเก็บสำเนาข้อมูลของคุณเอง เพราะแพ็กเกจไม่มีการสำรองข้อมูล คู่มือ cryptsetup ระบุว่าการสำรองข้อมูลจำเป็นสำหรับข้อมูลที่เข้ารหัสด้วย หากข้อมูลนั้นมีคุณค่า

ล็อกประตูหน้าด้วย ฉันจะเสริมความปลอดภัย SSH บน VPS ใหม่อย่างไร? ครอบคลุมเรื่องนี้ และ ฉันสร้างคีย์ SSH สำหรับ VPS ของฉันอย่างไร? ครอบคลุมคีย์ แพ็กเกจและระยะเวลาอยู่ใน หน้าราคา