Tôi có thể mã hóa đĩa VPS bằng LUKS không?

LUKS thực sự mang lại gì khi mã hóa đĩa VPS?

LUKS mang lại mã hóa lúc nghỉ: bất kỳ ai sao chép đĩa mà không có mật khẩu sẽ chỉ nhận được nhiễu. Nó không bảo vệ bạn khỏi nhà cung cấp khi VPS đang chạy, vì khóa đã mở nằm trong bộ nhớ mà hypervisor có thể đọc.

Đây là lý do khung nói thật quan trọng. Gloamport nêu rằng Ảo hóa KVM đầy đủ: kernel riêng, quy tắc tường lửa riêng và mã hóa đĩa riêng nếu bạn thiết lập, điều làm cho LUKS khả thi, và rằng Không gói nào bao gồm sao lưu: hãy giữ bản sao riêng của mọi thứ bạn không thể mất. Hãy kết hợp mã hóa với bản sao lưu của riêng bạn. Với câu hỏi rộng hơn về việc một VPS riêng tư là gì và không phải là gì, xem Điều gì làm một VPS chú trọng quyền riêng tư?.

Gói Gloamport nào phù hợp với ổ mã hóa?

Gloam là một cỡ thoải mái: nó có 2 vCPU, 4 GB RAM và 80 GB NVMe dung lượng, và Gloamport liệt kê nó cho "Máy chủ Matrix, Vaultwarden và SearXNG cùng lúc". Mã hóa tốn CPU, nên một lõi thứ hai có ích.

Theo khảo sát của Gloamport về 10 tháng 11, 2026, giá trung vị của một VPS 2 vCPU, 4 GB tương đương trên 29 nhà cung cấp là $31.29 mỗi tháng. Gloam là $8.25 mỗi tháng với 12 tháng và $16.50 với 1 tháng.

Các lệnh LUKS chính xác là gì?

Các lệnh dưới đây theo sổ tay cryptsetup. luksFormat khởi tạo ổ và đặt mật khẩu đầu tiên, open tạo ánh xạ, luksDump in header, và luksHeaderBackup lưu một bản sao nhị phân của header và vùng key slot. Sổ tay nói rằng nếu header của một ổ LUKS bị hỏng, mọi dữ liệu sẽ mất vĩnh viễn trừ khi bạn có bản sao lưu header.

apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header

cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault

umount /mnt/vault
cryptsetup close vault

Tôi có thể mở khóa một đĩa root mã hóa từ xa bằng dropbear-initramfs không?

Có, nếu hệ thống khởi động từ một root mã hóa, một máy chủ SSH nhỏ trong initramfs có thể nhận mật khẩu trước khi hệ thống tệp root được gắn kết. Điều này cần một bản cài đặt bạn thiết lập với root mã hóa, là một công việc lớn hơn ổ dữ liệu ở trên, nên hãy coi đây là bước nâng cao và kiểm tra image và quy trình khởi động của bạn có cho phép không.

Gói Debian dropbear-initramfs cung cấp truy cập SSH bên trong RAM filesystem ban đầu, chẳng hạn để mở khóa các đĩa mã hóa. Tài liệu của nó đặt khóa công khai của bạn trong /etc/dropbear/initramfs/authorized_keys và các tùy chọn trong /etc/dropbear/initramfs/dropbear.conf, và yêu cầu chạy update-initramfs -u -k all sau khi thay đổi chúng. Nó cũng khuyên không nên tái sử dụng khóa máy chủ SSH chính, vì /boot thường không được mã hóa.

apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all

DROPBEAR_OPTIONS="-p 2222"

Làm sao để giữ một VPS mã hóa dùng được lâu dài?

Sao lưu header, ghi mật khẩu ra giấy ngoại tuyến, và giữ bản sao dữ liệu của riêng bạn, vì gói không có bản sao lưu. Sổ tay cryptsetup nói rằng sao lưu là bắt buộc cho dữ liệu mã hóa, nếu dữ liệu có giá trị nào đó.

Khóa cửa trước cũng vậy. Làm thế nào để gia cố SSH trên VPS mới? bao quát điều đó, và Làm thế nào để tạo khóa SSH cho VPS? bao quát khóa. Gói và kỳ hạn nằm ở trang giá.