Посібник · перевірено 2026-11-10

Чи можна зашифрувати диск VPS за допомогою LUKS?

LUKS захищає дані в стані спокою. Він не приховує запущений VPS від машини, на якій той працює, і ця сторінка пояснює, де проходить межа.

Останнє оновлення: 10 листопада 2026 р. · 5 хв читання

Коротка відповідь

Чи можна зашифрувати диск VPS за допомогою LUKS?

Так, можна зашифрувати диск VPS за допомогою LUKS, бо Gloamport надає повну віртуалізацію KVM з власним ядром. Створіть том командою cryptsetup luksFormat, відкрийте його, відформатуйте і змонтуйте. Тариф Gloam, 2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic, коштує $8.25 на місяць за 12 місяців.

Що LUKS захищає на VPS, а що ні?

Ситуація	Захищено LUKS?	Чому
Копію образу диска або знімок	Так	Дані на диску є шифротекстом без парольної фрази
VPS, який вимкнено	Так	Ключа немає в пам’яті
Запущений VPS з відкритим томом	Ні	Ключ і відкритий текст лежать в RAM, яку може прочитати машина-хост
Хтось із root усередині вашого VPS	Ні	Вони бачать змонтований том
Втрачена парольна фраза або пошкоджений заголовок	Ні	Дані втрачено, якщо ви не зробили резервну копію заголовка

Обмеження RAM — це властивість віртуалізації, а не Gloamport: будь-який хостер може прочитати пам’ять гостей, яких запускає.

Що насправді дає шифрування диска VPS за допомогою LUKS?

LUKS дає шифрування в стані спокою: той, хто скопіює диск без парольної фрази, отримає шум. Він не захищає від хостера, поки VPS працює, бо розблокований ключ лежить у пам’яті, яку може прочитати гіпервізор.

Тому чесне формулювання важливе. Gloamport стверджує, що Повна віртуалізація KVM: власне ядро, власні правила брандмауера і власне шифрування диска, якщо ви його налаштуєте, що робить LUKS можливим, і що Жоден тариф не містить резервних копій: зберігайте власну копію всього, що не можете втратити. Поєднуйте шифрування з власними резервними копіями. Ширше питання про те, чим є і чим не є приватний VPS, — у Що робить VPS орієнтованим на приватність?.

Який тариф Gloamport підходить для зашифрованого тому?

Gloam — зручний розмір: він має 2 vCPU, 4 GB RAM і 80 GB NVMe сховища, і Gloamport пропонує його для «Сервер Matrix, Vaultwarden і SearXNG разом». Шифрування забирає трохи CPU, тож другий ядро допоможе.

За дослідженням Gloamport 10 листопада 2026 р., медіанна ціна порівнянного VPS з 2 vCPU, 4 GB серед 29 хостів становила $31.29 на місяць. Gloam коштує $8.25 на місяць за 12 місяців і $16.50 за 1 місяць.

Як зашифрувати том на VPS за допомогою LUKS, крок за кроком?

Сім кроків для тому даних, що зберігається у файлі. Ті самі команди працюють і на блочному пристрої.

Встановіть cryptsetup
Виконайте apt install cryptsetup від root.
Створіть файл-контейнер
Виділіть файл потрібного розміру. cryptsetup сам зіставляє звичайний файл із loop-пристроєм.
Відформатуйте як LUKS2
Виконайте cryptsetup --type luks2 luksFormat для файлу і виберіть довгу парольну фразу. Це стирає все, що є у файлі.
Зробіть резервну копію заголовка
Виконайте luksHeaderBackup і зберігайте файл окремо від VPS. Пошкоджений заголовок інакше призводить до втрати всього.
Відкрийте том
Виконайте cryptsetup open з іменем відображення. Пристрій з’явиться в /dev/mapper/.
Створіть файлову систему і змонтуйте її
Виконайте mkfs.ext4 для відображеного пристрою, створіть папку і змонтуйте її.
Закрийте, коли закінчите
Відмонтуйте, потім cryptsetup close, що прибирає відображення і стирає ключ із пам’яті ядра.

Які точні команди LUKS?

Наведені нижче команди відповідають посібнику cryptsetup. luksFormat ініціалізує том і встановлює першу парольну фразу, open створює відображення, luksDump виводить заголовок, а luksHeaderBackup зберігає двійкову копію заголовка і області слотів ключів. Посібник каже, що якщо заголовок тому LUKS пошкоджено, усі дані безповоротно втрачаються, якщо у вас немає резервної копії заголовка.

Створіть і відформатуйте контейнер

apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header

Відкрийте, відформатуйте і змонтуйте

cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault

Закрийте його

umount /mnt/vault
cryptsetup close vault

Чи можна віддалено розблокувати зашифрований кореневий диск за допомогою dropbear-initramfs?

Так, якщо система завантажується з зашифрованого кореня, невеликий SSH-сервер в initramfs може прийняти парольну фразу до монтування кореневої файлової системи. Для цього потрібна інсталяція із зашифрованим коренем, а це складніша робота, ніж том даних вище, тож сприймайте це як просунутий крок і перевірте, що ваш образ і процес завантаження це дозволяють.

Пакет Debian dropbear-initramfs надає доступ по SSH всередині початкової файлової системи в RAM, наприклад для розблокування зашифрованих дисків. Його документація розміщує ваші публічні ключі в /etc/dropbear/initramfs/authorized_keys, а параметри — в /etc/dropbear/initramfs/dropbear.conf, і каже виконати update-initramfs -u -k all після змін. Вона також радить не повторно використовувати основні SSH-ключі хоста, бо /boot зазвичай не зашифрований.

Встановіть і застосуйте SSH-сервер initramfs

apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all

Необов’язково: слухати інший порт (dropbear.conf)

DROPBEAR_OPTIONS="-p 2222"

Як зберегти зашифрований VPS придатним до використання з часом?

Зробіть резервну копію заголовка, запишіть парольну фразу офлайн і зберігайте власну копію даних, бо жоден тариф не містить резервних копій. Посібник cryptsetup каже, що резервне копіювання обов’язкове й для зашифрованих даних, якщо вони чогось варті.

Замкніть і вхідні двері. Як посилити SSH на новому VPS? описує це, а Як згенерувати SSH-ключ для мого VPS? — ключ. Тарифи і терміни — на сторінці цін.

Підсумок

LUKS2 шифрує дані в стані спокою на VPS із повною віртуалізацією KVM.
Він не приховує запущений VPS від хостера, який може прочитати RAM.
cryptsetup --type luks2 luksFormat створює том; open і close керують ним.
Зробіть резервну копію заголовка за допомогою luksHeaderBackup: пошкоджений заголовок призводить до втрати всіх даних.
dropbear-initramfs дозволяє віддалене розблокування зашифрованого кореня.
Gloam (2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic) коштує $8.25 на місяць за 12 місяців.

LUKS на VPS: поширені питання

Чи може хостер VPS прочитати мої дані, зашифровані LUKS?

Не з диска, але так, коли том відкрито, бо ключ і дані лежать у пам’яті, яку може прочитати хостер. LUKS захищає дані в стані спокою.

Чи можна використовувати файл замість розділу?

Так. Посібник cryptsetup каже, що якщо аргумент пристрою є файлом, cryptsetup намагається виділити loopback-пристрій і зіставити його з цим файлом.

Що буде, якщо я забуду парольну фразу?

Дані не можна прочитати. Зберігайте парольну фразу в безпеці і зробіть резервну копію заголовка, бо пошкоджений заголовок також призводить до втрати всього.

Що робить dropbear-initramfs?

Він запускає невеликий SSH-сервер у початковій файловій системі в RAM, щоб ви могли розблокувати зашифрований кореневий диск під час завантаження з іншої машини.

Чи включає Gloamport резервні копії?

Жоден тариф не містить резервних копій, тож зберігайте власну копію всього, що не можете втратити.

Джерела (4)

Сторінка керівництва cryptsetup(8) — Debian (checked 2026-11-10)
Сторінка керівництва cryptsetup-luksFormat(8) — Debian (checked 2026-11-10)
README dropbear-initramfs — Debian (checked 2026-11-10)
Пакет dropbear-initramfs (trixie) — Debian (checked 2026-11-10)