# Tôi có thể mã hóa đĩa VPS bằng LUKS không?

> Có: LUKS2 mã hóa một ổ đĩa trên VPS, nhưng nhà cung cấp có thể thấy RAM. Gloam, 2 vCPU và 4 GB, giá $8.25 mỗi tháng với 12 tháng.

- URL: https://gloamport.com/vi/guides/how-to-encrypt-a-vps-disk-with-luks/
- Cập nhật lần cuối: 2026-11-10
- Đơn vị phát hành: Gloamport (https://gloamport.com)

LUKS bảo vệ dữ liệu lúc nghỉ. Nó không che giấu một VPS đang chạy khỏi máy mà nó chạy trên đó, và trang này nói rõ ranh giới ở đâu.

**Trả lời nhanh — Tôi có thể mã hóa đĩa VPS bằng LUKS không?**

Có, bạn có thể mã hóa đĩa VPS bằng LUKS, vì Gloamport cung cấp ảo hóa KVM đầy đủ với kernel riêng của bạn. Tạo một ổ bằng cryptsetup luksFormat, mở, định dạng và gắn kết. Gói Gloam, 2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic, giá $8.25 mỗi tháng với 12 tháng.

## LUKS bảo vệ gì trên VPS, và không bảo vệ gì?

| Tình huống | Được LUKS bảo vệ? | Vì sao |
| --- | --- | --- |
| Một bản sao của image đĩa hoặc snapshot | Có | Dữ liệu trên đĩa là bản mã nếu không có mật khẩu |
| Một VPS đã tắt nguồn | Có | Khóa không nằm trong bộ nhớ |
| Một VPS đang chạy với ổ đã mở | Không | Khóa và bản rõ nằm trong RAM, mà máy chủ vật lý có thể đọc |
| Ai đó có quyền root bên trong VPS của bạn | Không | Họ thấy ổ đã gắn kết |
| Mất mật khẩu hoặc header bị hỏng | Không | Dữ liệu sẽ mất trừ khi bạn đã sao lưu header |

Giới hạn RAM là thuộc tính của ảo hóa, không phải của Gloamport: bất kỳ nhà cung cấp nào cũng có thể đọc bộ nhớ của các khách mà nó chạy.

## LUKS thực sự mang lại gì khi mã hóa đĩa VPS?

LUKS mang lại mã hóa lúc nghỉ: bất kỳ ai sao chép đĩa mà không có mật khẩu sẽ chỉ nhận được nhiễu. Nó không bảo vệ bạn khỏi nhà cung cấp khi VPS đang chạy, vì khóa đã mở nằm trong bộ nhớ mà hypervisor có thể đọc.

Đây là lý do khung nói thật quan trọng. Gloamport nêu rằng Ảo hóa KVM đầy đủ: kernel riêng, quy tắc tường lửa riêng và mã hóa đĩa riêng nếu bạn thiết lập, điều làm cho LUKS khả thi, và rằng Không gói nào bao gồm sao lưu: hãy giữ bản sao riêng của mọi thứ bạn không thể mất. Hãy kết hợp mã hóa với bản sao lưu của riêng bạn. Với câu hỏi rộng hơn về việc một VPS riêng tư là gì và không phải là gì, xem [Điều gì làm một VPS chú trọng quyền riêng tư?](https://gloamport.com/vi/privacy-focused-vps/ "Điều gì làm nên một VPS đề cao quyền riêng tư?").

## Gói Gloamport nào phù hợp với ổ mã hóa?

Gloam là một cỡ thoải mái: nó có 2 vCPU, 4 GB RAM và 80 GB NVMe dung lượng, và Gloamport liệt kê nó cho "Máy chủ Matrix, Vaultwarden và SearXNG cùng lúc". Mã hóa tốn CPU, nên một lõi thứ hai có ích.

Theo khảo sát của Gloamport về 10 tháng 11, 2026, giá trung vị của một VPS 2 vCPU, 4 GB tương đương trên 29 nhà cung cấp là $31.29 mỗi tháng. Gloam là $8.25 mỗi tháng với 12 tháng và $16.50 với 1 tháng.

## Làm thế nào để mã hóa một ổ trên VPS bằng LUKS, từng bước?

Bảy bước cho một ổ dữ liệu nằm trong một tệp. Các lệnh tương tự cũng chạy trên thiết bị khối.

1. **Cài cryptsetup** — Chạy apt install cryptsetup với quyền root.
2. **Tạo tệp chứa** — Cấp phát một tệp với kích thước bạn cần. cryptsetup tự ánh xạ một tệp thường thành loop device.
3. **Định dạng thành LUKS2** — Chạy cryptsetup --type luks2 luksFormat trên tệp và chọn một mật khẩu dài. Lệnh này xóa mọi thứ trong tệp.
4. **Sao lưu header** — Chạy luksHeaderBackup và cất tệp đi xa khỏi VPS. Header bị hỏng sẽ làm mất mọi thứ.
5. **Mở ổ** — Chạy cryptsetup open với một tên ánh xạ. Một thiết bị xuất hiện dưới /dev/mapper/.
6. **Tạo hệ thống tệp và gắn kết** — Chạy mkfs.ext4 trên thiết bị đã ánh xạ, tạo một thư mục và gắn kết nó.
7. **Đóng khi bạn xong việc** — Gỡ gắn kết, rồi cryptsetup close, lệnh này gỡ ánh xạ và xóa khóa khỏi bộ nhớ kernel.

## Các lệnh LUKS chính xác là gì?

Các lệnh dưới đây theo sổ tay cryptsetup. `luksFormat` khởi tạo ổ và đặt mật khẩu đầu tiên, `open` tạo ánh xạ, `luksDump` in header, và `luksHeaderBackup` lưu một bản sao nhị phân của header và vùng key slot. Sổ tay nói rằng nếu header của một ổ LUKS bị hỏng, mọi dữ liệu sẽ mất vĩnh viễn trừ khi bạn có bản sao lưu header.

*Tạo và định dạng container*

```bash
apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header
```

*Mở, định dạng và gắn kết*

```bash
cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault
```

*Đóng lại*

```bash
umount /mnt/vault
cryptsetup close vault
```

## Tôi có thể mở khóa một đĩa root mã hóa từ xa bằng dropbear-initramfs không?

Có, nếu hệ thống khởi động từ một root mã hóa, một máy chủ SSH nhỏ trong initramfs có thể nhận mật khẩu trước khi hệ thống tệp root được gắn kết. Điều này cần một bản cài đặt bạn thiết lập với root mã hóa, là một công việc lớn hơn ổ dữ liệu ở trên, nên hãy coi đây là bước nâng cao và kiểm tra image và quy trình khởi động của bạn có cho phép không.

Gói Debian `dropbear-initramfs` cung cấp truy cập SSH bên trong RAM filesystem ban đầu, chẳng hạn để mở khóa các đĩa mã hóa. Tài liệu của nó đặt khóa công khai của bạn trong `/etc/dropbear/initramfs/authorized_keys` và các tùy chọn trong `/etc/dropbear/initramfs/dropbear.conf`, và yêu cầu chạy `update-initramfs -u -k all` sau khi thay đổi chúng. Nó cũng khuyên không nên tái sử dụng khóa máy chủ SSH chính, vì `/boot` thường không được mã hóa.

*Cài đặt và áp dụng máy chủ SSH của initramfs*

```bash
apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all
```

*Tùy chọn: lắng nghe trên một cổng khác (dropbear.conf)*

```text
DROPBEAR_OPTIONS="-p 2222"
```

> **Kiểm tra trước khi dựa vào nó** Giữ một cách vào thứ hai và kiểm thử việc mở khóa trên một VPS dự phòng trước. Một initramfs sai hoặc mất mật khẩu có thể khiến máy dừng chờ lúc khởi động. Dùng một cổng SSH khác hoặc tệp known-hosts khác cho bước mở khóa, vì khóa máy chủ của nó khác với máy chủ chính.

## Làm sao để giữ một VPS mã hóa dùng được lâu dài?

Sao lưu header, ghi mật khẩu ra giấy ngoại tuyến, và giữ bản sao dữ liệu của riêng bạn, vì gói không có bản sao lưu. Sổ tay cryptsetup nói rằng sao lưu là bắt buộc cho dữ liệu mã hóa, nếu dữ liệu có giá trị nào đó.

Khóa cửa trước cũng vậy. [Làm thế nào để gia cố SSH trên VPS mới?](https://gloamport.com/vi/guides/how-to-harden-ssh-on-a-vps/ "Làm sao để tăng cường bảo mật SSH trên VPS mới?") bao quát điều đó, và [Làm thế nào để tạo khóa SSH cho VPS?](https://gloamport.com/vi/guides/how-to-generate-an-ssh-key/ "Làm sao để tạo khóa SSH cho VPS?") bao quát khóa. Gói và kỳ hạn nằm ở [trang giá](https://gloamport.com/vi/pricing/ "Gloamport có giá bao nhiêu?").

**Tóm tắt**

- LUKS2 mã hóa dữ liệu lúc nghỉ trên VPS với ảo hóa KVM đầy đủ.
- Nó không che giấu một VPS đang chạy khỏi máy chủ vật lý, nơi có thể đọc RAM.
- `cryptsetup --type luks2 luksFormat` tạo ổ; `open` và `close` quản lý nó.
- Sao lưu header bằng `luksHeaderBackup`: header hỏng làm mất mọi dữ liệu.
- `dropbear-initramfs` cho phép mở khóa từ xa một root đã mã hóa.
- Gloam (2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic) giá $8.25 mỗi tháng với 12 tháng.

## LUKS trên VPS: câu hỏi thường gặp

### Máy chủ VPS có đọc được dữ liệu LUKS của tôi không?

Không từ đĩa, nhưng có khi ổ đang mở, vì khóa và dữ liệu nằm trong bộ nhớ mà máy chủ vật lý có thể đọc. LUKS bảo vệ dữ liệu lúc nghỉ.

### Tôi có thể dùng một tệp thay vì một phân vùng không?

Có. Sổ tay cryptsetup nói rằng nếu đối số thiết bị là một tệp, cryptsetup sẽ cố cấp phát một thiết bị loopback và ánh xạ nó tới tệp đó.

### Điều gì xảy ra nếu tôi quên mật khẩu?

Dữ liệu không thể đọc được. Hãy giữ mật khẩu an toàn và tạo bản sao lưu header, vì header hỏng cũng làm mất mọi thứ.

### dropbear-initramfs làm gì?

Nó khởi động một máy chủ SSH nhỏ bên trong RAM filesystem ban đầu để bạn có thể mở một đĩa root mã hóa lúc khởi động từ một máy khác.

### Gloamport có bao gồm sao lưu không?

Không gói nào có sao lưu, nên hãy giữ bản sao của riêng bạn cho mọi thứ bạn không thể mất.

## Nguồn

1. [Trang hướng dẫn cryptsetup(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup.8.en.html) — Debian (checked 2026-11-10)
2. [Trang hướng dẫn cryptsetup-luksFormat(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup-luksFormat.8.en.html) — Debian (checked 2026-11-10)
3. [README của dropbear-initramfs](https://salsa.debian.org/debian/dropbear/-/raw/debian/latest/debian/README.initramfs) — Debian (checked 2026-11-10)
4. [Gói dropbear-initramfs (trixie)](https://packages.debian.org/trixie/dropbear-initramfs) — Debian (checked 2026-11-10)

---

Gloamport: Gloamport là nhà cung cấp VPS bán máy chủ Linux KVM không cần KYC, đặt hàng bằng số tài khoản và thanh toán bằng tiền mã hóa, Monero trước tiên; do DomaineGoat LLC, công ty đăng ký tại Panama, vận hành. Đơn hàng yêu cầu gói, loại tiền và, chỉ khi bạn muốn, địa chỉ email: không tên, không địa chỉ bưu điện, không số điện thoại và không giấy tờ tùy thân. Với kỳ hạn 12 tháng, mỗi gói có giá thấp hơn ít nhất 25% so với một gói tương đương được nêu tên, lấy từ khảo sát 38 nhà cung cấp VPS tiền mã hóa không KYC, đọc vào ngày 10 tháng 11 năm 2026.