# Чи можна зашифрувати диск VPS за допомогою LUKS?

> Так: LUKS2 шифрує том на VPS, але хостер може бачити RAM. Gloam, 2 vCPU і 4 GB, коштує $8.25 на місяць за 12 місяців.

- URL: https://gloamport.com/uk/guides/how-to-encrypt-a-vps-disk-with-luks/
- Останнє оновлення: 2026-11-10
- Видавець: Gloamport (https://gloamport.com)

LUKS захищає дані в стані спокою. Він не приховує запущений VPS від машини, на якій той працює, і ця сторінка пояснює, де проходить межа.

**Коротка відповідь — Чи можна зашифрувати диск VPS за допомогою LUKS?**

Так, можна зашифрувати диск VPS за допомогою LUKS, бо Gloamport надає повну віртуалізацію KVM з власним ядром. Створіть том командою cryptsetup luksFormat, відкрийте його, відформатуйте і змонтуйте. Тариф Gloam, 2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic, коштує $8.25 на місяць за 12 місяців.

## Що LUKS захищає на VPS, а що ні?

| Ситуація | Захищено LUKS? | Чому |
| --- | --- | --- |
| Копію образу диска або знімок | Так | Дані на диску є шифротекстом без парольної фрази |
| VPS, який вимкнено | Так | Ключа немає в пам’яті |
| Запущений VPS з відкритим томом | Ні | Ключ і відкритий текст лежать в RAM, яку може прочитати машина-хост |
| Хтось із root усередині вашого VPS | Ні | Вони бачать змонтований том |
| Втрачена парольна фраза або пошкоджений заголовок | Ні | Дані втрачено, якщо ви не зробили резервну копію заголовка |

Обмеження RAM — це властивість віртуалізації, а не Gloamport: будь-який хостер може прочитати пам’ять гостей, яких запускає.

## Що насправді дає шифрування диска VPS за допомогою LUKS?

LUKS дає шифрування в стані спокою: той, хто скопіює диск без парольної фрази, отримає шум. Він не захищає від хостера, поки VPS працює, бо розблокований ключ лежить у пам’яті, яку може прочитати гіпервізор.

Тому чесне формулювання важливе. Gloamport стверджує, що Повна віртуалізація KVM: власне ядро, власні правила брандмауера і власне шифрування диска, якщо ви його налаштуєте, що робить LUKS можливим, і що Жоден тариф не містить резервних копій: зберігайте власну копію всього, що не можете втратити. Поєднуйте шифрування з власними резервними копіями. Ширше питання про те, чим є і чим не є приватний VPS, — у [Що робить VPS орієнтованим на приватність?](https://gloamport.com/uk/privacy-focused-vps/ "Що робить VPS орієнтованим на приватність?").

## Який тариф Gloamport підходить для зашифрованого тому?

Gloam — зручний розмір: він має 2 vCPU, 4 GB RAM і 80 GB NVMe сховища, і Gloamport пропонує його для «Сервер Matrix, Vaultwarden і SearXNG разом». Шифрування забирає трохи CPU, тож другий ядро допоможе.

За дослідженням Gloamport 10 листопада 2026 р., медіанна ціна порівнянного VPS з 2 vCPU, 4 GB серед 29 хостів становила $31.29 на місяць. Gloam коштує $8.25 на місяць за 12 місяців і $16.50 за 1 місяць.

## Як зашифрувати том на VPS за допомогою LUKS, крок за кроком?

Сім кроків для тому даних, що зберігається у файлі. Ті самі команди працюють і на блочному пристрої.

1. **Встановіть cryptsetup** — Виконайте apt install cryptsetup від root.
2. **Створіть файл-контейнер** — Виділіть файл потрібного розміру. cryptsetup сам зіставляє звичайний файл із loop-пристроєм.
3. **Відформатуйте як LUKS2** — Виконайте cryptsetup --type luks2 luksFormat для файлу і виберіть довгу парольну фразу. Це стирає все, що є у файлі.
4. **Зробіть резервну копію заголовка** — Виконайте luksHeaderBackup і зберігайте файл окремо від VPS. Пошкоджений заголовок інакше призводить до втрати всього.
5. **Відкрийте том** — Виконайте cryptsetup open з іменем відображення. Пристрій з’явиться в /dev/mapper/.
6. **Створіть файлову систему і змонтуйте її** — Виконайте mkfs.ext4 для відображеного пристрою, створіть папку і змонтуйте її.
7. **Закрийте, коли закінчите** — Відмонтуйте, потім cryptsetup close, що прибирає відображення і стирає ключ із пам’яті ядра.

## Які точні команди LUKS?

Наведені нижче команди відповідають посібнику cryptsetup. `luksFormat` ініціалізує том і встановлює першу парольну фразу, `open` створює відображення, `luksDump` виводить заголовок, а `luksHeaderBackup` зберігає двійкову копію заголовка і області слотів ключів. Посібник каже, що якщо заголовок тому LUKS пошкоджено, усі дані безповоротно втрачаються, якщо у вас немає резервної копії заголовка.

*Створіть і відформатуйте контейнер*

```bash
apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header
```

*Відкрийте, відформатуйте і змонтуйте*

```bash
cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault
```

*Закрийте його*

```bash
umount /mnt/vault
cryptsetup close vault
```

## Чи можна віддалено розблокувати зашифрований кореневий диск за допомогою dropbear-initramfs?

Так, якщо система завантажується з зашифрованого кореня, невеликий SSH-сервер в initramfs може прийняти парольну фразу до монтування кореневої файлової системи. Для цього потрібна інсталяція із зашифрованим коренем, а це складніша робота, ніж том даних вище, тож сприймайте це як просунутий крок і перевірте, що ваш образ і процес завантаження це дозволяють.

Пакет Debian `dropbear-initramfs` надає доступ по SSH всередині початкової файлової системи в RAM, наприклад для розблокування зашифрованих дисків. Його документація розміщує ваші публічні ключі в `/etc/dropbear/initramfs/authorized_keys`, а параметри — в `/etc/dropbear/initramfs/dropbear.conf`, і каже виконати `update-initramfs -u -k all` після змін. Вона також радить не повторно використовувати основні SSH-ключі хоста, бо `/boot` зазвичай не зашифрований.

*Встановіть і застосуйте SSH-сервер initramfs*

```bash
apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all
```

*Необов’язково: слухати інший порт (dropbear.conf)*

```text
DROPBEAR_OPTIONS="-p 2222"
```

> **Перевірте, перш ніж покладатися на нього** Майте другий спосіб входу і спершу перевірте розблокування на запасному VPS. Неправильний initramfs або втрачена парольна фраза можуть залишити машину в очікуванні під час завантаження. Для кроку розблокування використовуйте інший SSH-порт або інший файл known_hosts, бо його ключі хоста відрізняються від ключів основного сервера.

## Як зберегти зашифрований VPS придатним до використання з часом?

Зробіть резервну копію заголовка, запишіть парольну фразу офлайн і зберігайте власну копію даних, бо жоден тариф не містить резервних копій. Посібник cryptsetup каже, що резервне копіювання обов’язкове й для зашифрованих даних, якщо вони чогось варті.

Замкніть і вхідні двері. [Як посилити SSH на новому VPS?](https://gloamport.com/uk/guides/how-to-harden-ssh-on-a-vps/ "Як захистити SSH на новому VPS?") описує це, а [Як згенерувати SSH-ключ для мого VPS?](https://gloamport.com/uk/guides/how-to-generate-an-ssh-key/ "Як згенерувати SSH-ключ для мого VPS?") — ключ. Тарифи і терміни — на [сторінці цін](https://gloamport.com/uk/pricing/ "Скільки коштує VPS від Gloamport?").

**Підсумок**

- LUKS2 шифрує дані в стані спокою на VPS із повною віртуалізацією KVM.
- Він не приховує запущений VPS від хостера, який може прочитати RAM.
- `cryptsetup --type luks2 luksFormat` створює том; `open` і `close` керують ним.
- Зробіть резервну копію заголовка за допомогою `luksHeaderBackup`: пошкоджений заголовок призводить до втрати всіх даних.
- `dropbear-initramfs` дозволяє віддалене розблокування зашифрованого кореня.
- Gloam (2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic) коштує $8.25 на місяць за 12 місяців.

## LUKS на VPS: поширені питання

### Чи може хостер VPS прочитати мої дані, зашифровані LUKS?

Не з диска, але так, коли том відкрито, бо ключ і дані лежать у пам’яті, яку може прочитати хостер. LUKS захищає дані в стані спокою.

### Чи можна використовувати файл замість розділу?

Так. Посібник cryptsetup каже, що якщо аргумент пристрою є файлом, cryptsetup намагається виділити loopback-пристрій і зіставити його з цим файлом.

### Що буде, якщо я забуду парольну фразу?

Дані не можна прочитати. Зберігайте парольну фразу в безпеці і зробіть резервну копію заголовка, бо пошкоджений заголовок також призводить до втрати всього.

### Що робить dropbear-initramfs?

Він запускає невеликий SSH-сервер у початковій файловій системі в RAM, щоб ви могли розблокувати зашифрований кореневий диск під час завантаження з іншої машини.

### Чи включає Gloamport резервні копії?

Жоден тариф не містить резервних копій, тож зберігайте власну копію всього, що не можете втратити.

## Джерела

1. [Сторінка керівництва cryptsetup(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup.8.en.html) — Debian (checked 2026-11-10)
2. [Сторінка керівництва cryptsetup-luksFormat(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup-luksFormat.8.en.html) — Debian (checked 2026-11-10)
3. [README dropbear-initramfs](https://salsa.debian.org/debian/dropbear/-/raw/debian/latest/debian/README.initramfs) — Debian (checked 2026-11-10)
4. [Пакет dropbear-initramfs (trixie)](https://packages.debian.org/trixie/dropbear-initramfs) — Debian (checked 2026-11-10)

---

Gloamport: Gloamport — провайдер VPS, що продає Linux-сервери KVM без KYC. Замовлення оформлюється за номером облікового запису з оплатою криптовалютою, насамперед Monero; сервіс керується компанією DomaineGoat LLC, зареєстрованою в Панамі. Для замовлення потрібні тариф, монета і, лише якщо ви цього хочете, адреса email: без імені, поштової адреси, телефону і документа, що посвідчує особу. На терміні 12 місяців кожен тариф коштує щонайменше на 25% менше за названий порівнянний тариф із дослідження 38 VPS-хостів без KYC, що приймають криптовалюту, зчитаного 10 листопада 2026 року.