# ฉันเข้ารหัสดิสก์ VPS ด้วย LUKS ได้ไหม?

> ได้: LUKS2 เข้ารหัสวอลุ่มบน VPS แต่โฮสต์มองเห็น RAM ได้ Gloam, 2 vCPU และ 4 GB ราคา $8.25 ต่อเดือนในระยะ 12 เดือน

- URL: https://gloamport.com/th/guides/how-to-encrypt-a-vps-disk-with-luks/
- อัปเดตล่าสุด: 2026-11-10
- ผู้เผยแพร่: Gloamport (https://gloamport.com)

LUKS ปกป้องข้อมูลขณะพักอยู่ (at rest) มันไม่ซ่อน VPS ที่กำลังทำงานจากเครื่องที่มันทำงานอยู่ และหน้านี้บอกว่าเส้นแบ่งอยู่ที่ไหน

**คำตอบแบบสั้น — ฉันเข้ารหัสดิสก์ VPS ด้วย LUKS ได้ไหม?**

ได้ คุณเข้ารหัสดิสก์ VPS ด้วย LUKS ได้ เพราะ Gloamport ให้การจำลองเสมือน KVM เต็มรูปแบบพร้อมเคอร์เนลของคุณเอง สร้างวอลุ่มด้วย cryptsetup luksFormat เปิดมัน แล้วฟอร์แมตและเมานต์ แพ็กเกจ Gloam 2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic ราคา $8.25 ต่อเดือนในระยะ 12 เดือน

## LUKS ปกป้องอะไรบน VPS และไม่ปกป้องอะไร?

| สถานการณ์ | ได้รับการปกป้องโดย LUKS หรือไม่? | เหตุผล |
| --- | --- | --- |
| สำเนาของอิมเมจดิสก์หรือสแนปชอต | ใช่ | ข้อมูลบนดิสก์เป็น ciphertext หากไม่มี passphrase |
| VPS ที่ปิดเครื่องอยู่ | ใช่ | คีย์ไม่ได้อยู่ในหน่วยความจำ |
| VPS ที่ทำงานอยู่โดยที่วอลุ่มถูกเปิด | ไม่ใช่ | คีย์และข้อมูลที่ถอดรหัสแล้วอยู่ใน RAM ซึ่งเครื่องโฮสต์อ่านได้ |
| ผู้ที่มีสิทธิ์ root ภายใน VPS ของคุณ | ไม่ใช่ | พวกเขาเห็นวอลุ่มที่ถูกเมานต์ |
| passphrase ที่หายหรือ header ที่เสียหาย | ไม่ใช่ | ข้อมูลจะสูญหาย เว้นแต่คุณได้สำรอง header ไว้ |

ข้อจำกัดของ RAM เป็นคุณสมบัติของการจำลองเสมือน ไม่ใช่ของ Gloamport: โฮสต์ใดก็ตามอ่านหน่วยความจำของ guest ที่มันรันอยู่ได้

## การเข้ารหัสดิสก์ VPS ด้วย LUKS ให้คุณได้จริง ๆ อะไร?

LUKS ให้การเข้ารหัสขณะพักอยู่: ใครก็ตามที่คัดลอกดิสก์โดยไม่มี passphrase จะได้เพียงข้อมูลที่อ่านไม่ออก มันไม่ได้ให้การป้องกันจากโฮสต์ขณะที่ VPS ทำงาน เพราะคีย์ที่ปลดล็อกแล้วอยู่ในหน่วยความจำที่ไฮเปอร์ไวเซอร์อ่านได้

นี่คือเหตุผลที่กรอบความจริงสำคัญ Gloamport ระบุว่า KVM เต็มรูปแบบ: เคอร์เนลของคุณเอง กฎไฟร์วอลล์ของคุณเอง และการเข้ารหัสดิสก์ของคุณเองหากคุณตั้งค่าไว้ ซึ่งทำให้ LUKS เป็นไปได้ และว่า ไม่มีแพ็กเกจใดรวมการสำรองข้อมูล: ให้เก็บสำเนาของสิ่งที่คุณสูญเสียไม่ได้ไว้เอง จับคู่การเข้ารหัสกับการสำรองข้อมูลของคุณเอง สำหรับคำถามกว้างกว่านี้ว่า VPS ส่วนตัวคืออะไรและไม่ใช่อะไร ดู [VPS ที่เน้นความเป็นส่วนตัวมีลักษณะอย่างไร?](https://gloamport.com/th/privacy-focused-vps/ "อะไรทำให้ VPS เป็นส่วนตัว?")

## แพ็กเกจ Gloamport ไหนเหมาะกับวอลุ่มที่เข้ารหัส?

Gloam มีขนาดที่สบาย: มี vCPU 2 RAM 4 GB และพื้นที่เก็บข้อมูล NVMe 80 GB และ Gloamport ระบุว่าเหมาะกับ "เซิร์ฟเวอร์ Matrix, Vaultwarden และ SearXNG รวมกัน" การเข้ารหัสใช้ CPU บ้าง ดังนั้นคอร์ที่สองช่วยได้

ตามการสำรวจของ Gloamport ที่อ้างถึง 10 พฤศจิกายน 2569 ราคาค่ากลางของ VPS 2 vCPU, 4 GB ที่เทียบเคียงได้ในกลุ่ม 29 โฮสต์ แห่งอยู่ที่ $31.29 ต่อเดือน Gloam คือ $8.25 ต่อเดือนในระยะ 12 เดือน และ $16.50 ในระยะ 1 เดือน

## ฉันจะเข้ารหัสวอลุ่มบน VPS ด้วย LUKS ทีละขั้นตอนอย่างไร?

เจ็ดขั้นตอนสำหรับวอลุ่มข้อมูลที่อยู่ในไฟล์ คำสั่งเดียวกันใช้ได้กับ block device

1. **ติดตั้ง cryptsetup** — รัน apt install cryptsetup ในฐานะ root
2. **สร้างไฟล์คอนเทนเนอร์** — จัดสรรไฟล์ขนาดที่คุณต้องการ cryptsetup จับคู่ไฟล์ธรรมดากับ loop device ด้วยตัวเอง
3. **ฟอร์แมตเป็น LUKS2** — รัน cryptsetup --type luks2 luksFormat กับไฟล์และเลือก passphrase ที่ยาว สิ่งนี้จะล้างทุกอย่างที่อยู่ในไฟล์
4. **สำรอง header** — รัน luksHeaderBackup แล้วเก็บไฟล์ไว้ให้ห่างจาก VPS มิฉะนั้น header ที่เสียหายจะทำให้ทุกอย่างสูญหาย
5. **เปิดวอลุ่ม** — รัน cryptsetup open พร้อมชื่อ mapping อุปกรณ์จะปรากฏใต้ /dev/mapper/
6. **สร้างระบบไฟล์และเมานต์** — รัน mkfs.ext4 บนอุปกรณ์ที่ถูก map สร้างโฟลเดอร์ แล้วเมานต์
7. **ปิดเมื่อคุณทำเสร็จ** — อันเมานต์ออก แล้วรัน cryptsetup close ซึ่งจะลบ mapping และล้างคีย์ออกจากหน่วยความจำเคอร์เนล

## คำสั่ง LUKS ที่แน่นอนมีอะไรบ้าง?

คำสั่งด้านล่างตามคู่มือของ cryptsetup `luksFormat` เริ่มต้นวอลุ่มและตั้ง passphrase แรก `open` สร้าง mapping `luksDump` แสดง header และ `luksHeaderBackup` เก็บสำเนาไบนารีของ header และพื้นที่ key slot คู่มือระบุว่าหาก header ของวอลุ่ม LUKS เสียหาย ข้อมูลทั้งหมดจะสูญหายถาวร เว้นแต่คุณมีการสำรอง header

*สร้างและฟอร์แมตคอนเทนเนอร์*

```bash
apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header
```

*เปิด ฟอร์แมต และเมานต์*

```bash
cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault
```

*ปิด*

```bash
umount /mnt/vault
cryptsetup close vault
```

## ฉันปลดล็อกดิสก์รูตที่เข้ารหัสจากระยะไกลด้วย dropbear-initramfs ได้ไหม?

ได้ หากระบบบูตจากรูตที่เข้ารหัส SSH server ขนาดเล็กใน initramfs สามารถรับ passphrase ก่อนที่ root filesystem จะถูกเมานต์ ซึ่งต้องใช้การติดตั้งที่คุณตั้งค่าให้มีรูตที่เข้ารหัส เป็นงานที่ใหญ่กว่าวอลุ่มข้อมูลด้านบน ดังนั้นควรถือเป็นขั้นสูงและตรวจว่า image และกระบวนการบูตของคุณอนุญาตหรือไม่

แพ็กเกจ Debian `dropbear-initramfs` ให้การเข้าถึง SSH ภายใน initial RAM filesystem เช่น เพื่อปลดล็อกดิสก์ที่เข้ารหัส เอกสารของมันวางคีย์สาธารณะของคุณไว้ใน `/etc/dropbear/initramfs/authorized_keys` และตัวเลือกไว้ใน `/etc/dropbear/initramfs/dropbear.conf` และระบุให้รัน `update-initramfs -u -k all` หลังจากเปลี่ยนค่า นอกจากนี้ยังแนะนำไม่ให้ใช้คีย์โฮสต์ SSH หลักซ้ำ เพราะ `/boot` มักไม่ได้เข้ารหัส

*ติดตั้งและใช้งาน SSH server ใน initramfs*

```bash
apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all
```

*ไม่บังคับ: ฟังบนพอร์ตอื่น (dropbear.conf)*

```text
DROPBEAR_OPTIONS="-p 2222"
```

> **ทดสอบก่อนที่จะพึ่งพามัน** เก็บทางเข้าที่สองไว้และทดสอบการปลดล็อกบน VPS สำรองก่อน initramfs ที่ผิดพลาดหรือ passphrase ที่หายอาจทำให้เครื่องรอที่ขั้นตอนบูต ใช้พอร์ต SSH หรือไฟล์ known-hosts ที่ต่างกันสำหรับขั้นตอนการปลดล็อก เพราะคีย์โฮสต์ของมันต่างจากเซิร์ฟเวอร์หลัก

## ฉันจะทำให้ VPS ที่เข้ารหัสใช้งานได้ต่อเนื่องในระยะยาวอย่างไร?

สำรอง header เขียน passphrase ไว้แบบออฟไลน์ และเก็บสำเนาข้อมูลของคุณเอง เพราะแพ็กเกจไม่มีการสำรองข้อมูล คู่มือ cryptsetup ระบุว่าการสำรองข้อมูลจำเป็นสำหรับข้อมูลที่เข้ารหัสด้วย หากข้อมูลนั้นมีคุณค่า

ล็อกประตูหน้าด้วย [ฉันจะเสริมความปลอดภัย SSH บน VPS ใหม่อย่างไร?](https://gloamport.com/th/guides/how-to-harden-ssh-on-a-vps/ "ฉันจะทำให้ SSH แข็งแรงบน VPS ใหม่ได้อย่างไร?") ครอบคลุมเรื่องนี้ และ [ฉันสร้างคีย์ SSH สำหรับ VPS ของฉันอย่างไร?](https://gloamport.com/th/guides/how-to-generate-an-ssh-key/ "ฉันจะสร้างคีย์ SSH สำหรับ VPS ของฉันได้อย่างไร?") ครอบคลุมคีย์ แพ็กเกจและระยะเวลาอยู่ใน [หน้าราคา](https://gloamport.com/th/pricing/ "VPS ของ Gloamport ราคาเท่าไร?")

**สรุป**

- LUKS2 เข้ารหัสข้อมูลขณะพักอยู่บน VPS ที่ใช้การจำลองเสมือน KVM เต็มรูปแบบ
- มันไม่ซ่อน VPS ที่กำลังทำงานจากโฮสต์ ซึ่งสามารถอ่าน RAM ได้
- `cryptsetup --type luks2 luksFormat` สร้างวอลุ่ม; `open` และ `close` จัดการมัน
- สำรอง header ด้วย `luksHeaderBackup`: header ที่เสียหายทำให้ข้อมูลทั้งหมดสูญหาย
- `dropbear-initramfs` อนุญาตให้ปลดล็อกรูตที่เข้ารหัสจากระยะไกล
- Gloam (2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic) ราคา $8.25 ต่อเดือนในระยะ 12 เดือน

## LUKS บน VPS: คำถามที่พบบ่อย

### โฮสต์ VPS อ่านข้อมูลที่เข้ารหัสด้วย LUKS ของฉันได้ไหม?

ไม่จากดิสก์ แต่ได้เมื่อวอลุ่มถูกเปิดอยู่ เพราะคีย์และข้อมูลอยู่ในหน่วยความจำที่โฮสต์อ่านได้ LUKS ปกป้องข้อมูลขณะพักอยู่

### ฉันใช้ไฟล์แทนพาร์ทิชันได้ไหม?

ได้ คู่มือ cryptsetup ระบุว่าหากอาร์กิวเมนต์ของอุปกรณ์เป็นไฟล์ cryptsetup จะพยายามจัดสรร loopback device และจับคู่กับไฟล์นั้น

### จะเกิดอะไรขึ้นถ้าฉันลืม passphrase?

ข้อมูลจะอ่านไม่ได้ เก็บ passphrase ให้ปลอดภัยและสำรอง header ไว้ เพราะ header ที่เสียหายก็ทำให้ทุกอย่างสูญหายเช่นกัน

### dropbear-initramfs ทำอะไร?

มันเริ่ม SSH server ขนาดเล็กภายใน initial RAM filesystem เพื่อให้คุณปลดล็อกดิสก์รูตที่เข้ารหัสตอนบูตจากอีกเครื่องหนึ่งได้

### Gloamport รวมการสำรองข้อมูลหรือไม่?

ไม่มีแพ็กเกจใดรวมการสำรองข้อมูล ดังนั้นให้เก็บสำเนาของตัวเองสำหรับสิ่งที่คุณสูญเสียไม่ได้

## แหล่งข้อมูล

1. [หน้าคู่มือ cryptsetup(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup.8.en.html) — Debian (checked 2026-11-10)
2. [หน้าคู่มือ cryptsetup-luksFormat(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup-luksFormat.8.en.html) — Debian (checked 2026-11-10)
3. [README ของ dropbear-initramfs](https://salsa.debian.org/debian/dropbear/-/raw/debian/latest/debian/README.initramfs) — Debian (checked 2026-11-10)
4. [แพ็กเกจ dropbear-initramfs (trixie)](https://packages.debian.org/trixie/dropbear-initramfs) — Debian (checked 2026-11-10)

---

Gloamport: Gloamport เป็นผู้ให้บริการ VPS ที่ขายเซิร์ฟเวอร์ Linux KVM โดยไม่ต้อง KYC สั่งซื้อด้วยหมายเลขบัญชีและชำระด้วยคริปโต โดย Monero มาเป็นอันดับแรก ดำเนินการโดย DomaineGoat LLC บริษัทที่จดทะเบียนในปานามา คำสั่งซื้อจะถามหาแพ็กเกจ เหรียญ และอีเมลเฉพาะในกรณีที่คุณต้องการเท่านั้น ไม่มีชื่อ ไม่มีที่อยู่ไปรษณีย์ ไม่มีโทรศัพท์ และไม่มีเอกสารยืนยันตัวตน ในระยะ 12 เดือน แต่ละแพ็กเกจมีราคาต่ำกว่าแพ็กเกจเทียบเคียงที่มีชื่อระบุอย่างน้อย 25% จากการสำรวจโฮสต์ VPS ที่รับคริปโตและไม่ต้อง KYC จำนวน 38 แห่ง อ่านข้อมูลเมื่อวันที่ 10 พฤศจิกายน 2026