# ¿Cómo desbloqueo remotamente un servidor alquilado con cifrado LUKS? > Desbloqueo remoto de LUKS en un servidor sin consola: discos por SSH con Clevis y Tang o dropbear-initramfs. Debian y Ubuntu; sin KYC, con criptomonedas. - URL: https://basalthold.com/es/luks-remote-unlock/ - Última actualización: 2026-11-02 - Editor: Basalthold (https://basalthold.com) Tres formas de recuperar los discos cifrados tras un reinicio cuando nadie puede escribir en la consola. Abre los discos de datos por SSH, deja que Clevis consulte un servidor Tang o inicia sesión en dropbear dentro del initramfs. **Respuesta rápida — ¿Cómo desbloqueo remotamente un servidor alquilado con cifrado LUKS?** Para desbloquear remotamente un servidor alquilado con cifrado LUKS, cifra los discos de datos y ábrelos por SSH después del arranque, o deja que Clevis obtenga la clave de tu propio servidor Tang. Para una raíz cifrada, añade dropbear-initramfs y ejecuta cryptroot-unlock (paquetes de Debian y Ubuntu, comprobado 2 November 2026). Los servidores **Basalthold** no tienen consola; los holds empiezan en 110,99 US$, solo con criptomonedas, sin KYC. ## ¿Con qué trabajas en un hold? | Atributo | Valor | | --- | --- | | Consola | No hay acceso IPMI ni KVM-over-IP para clientes; los reinicios y las reinstalaciones que solicites en el panel los lleva a cabo el equipo | | Cifrado | Puedes cifrar cada disco de datos con LUKS o con el cifrado nativo de ZFS; las claves se quedan contigo y nadie del equipo te las pide nunca | | Discos | El sistema operativo va en su propio SSD (dos SSD en espejo en las configuraciones más grandes); los discos de datos llegan vacíos y sin particionar, para que puedas montar ZFS, un array mdadm o un conjunto de discos independientes. Si quieres que el equipo prepare un array RAID 6 o RAID 10 antes de la entrega, indícalo a soporte antes de que se te entregue el servidor | | Reinstalaciones | Los reinicios, las reinstalaciones y las cancelaciones se solicitan en el panel y las gestiona el equipo; una reinstalación borra todos los discos, incluidos los de datos | | Inicio de sesión | You log in as root over SSH: paste a public key at checkout and password logins stay off, or leave it empty and receive a temporary root password with the server, to replace at your first login | | Sistemas | Debian 13, Debian 12, Ubuntu 24.04 LTS, AlmaLinux 10, Rocky Linux 10, Proxmox VE 9 y Proxmox Backup Server 4 | ## ¿Qué método de desbloqueo encaja en un servidor sin consola? | Método | Qué está cifrado | Tras un reinicio | Riesgo sin consola | | --- | --- | --- | --- | | Discos de datos, desbloqueados por SSH | Los discos de datos; el SSD del sistema queda sin cifrar | Inicias sesión y abres los discos | Bajo: el sistema siempre arranca | | Discos de datos, Clevis y Tang | Los discos de datos | Se desbloquean cuando responde tu servidor Tang | Bajo: la passphrase sigue funcionando a mano | | Raíz cifrada, dropbear-initramfs | Todo, incluido el sistema | Inicias sesión en el initramfs y escribes la passphrase | Alto: un error de red deja el servidor sin conexión | ## ¿Por qué importa el desbloqueo remoto en un servidor alquilado? Porque un disco cifrado espera su clave en cada arranque y no hay nadie frente a la pantalla. No hay acceso IPMI ni KVM-over-IP para clientes; los reinicios y las reinstalaciones que solicites en el panel los lleva a cabo el equipo. Así que planifica el desbloqueo antes de cifrar. En un hold, el sistema operativo vive en su propio SSD y los discos de datos vienen vacíos. Esa separación facilita el primer método: deja el sistema sin cifrar y cifra los discos que guardan tus datos. **Cifra los discos que guardan tus datos; mantén el arranque lo bastante simple como para arreglarlo por SSH.** ## ¿Cómo cifro los discos de datos y los desbloqueo tras un reinicio? Formatea cada disco de datos como LUKS2, ábrelo y crea el array sobre los dispositivos abiertos. La passphrase nunca toca el disco del servidor. Tras un reinicio, el sistema arranca, inicias sesión por SSH y vuelves a abrir los discos. La elección del array por encima está en [ZFS o RAID por hardware](https://basalthold.com/es/zfs-vs-hardware-raid/ "ZFS or hardware RAID on a rented storage server"). Los servicios que usan el pool esperan hasta que lo hagas. Una comprobación de uptime externa, o un script que avise cuando falta el pool, te dice que hubo un reinicio. *Cifra los discos de datos y luego crea el pool sobre ellos* ```bash apt install cryptsetup # ZFS tools: zfsutils-linux and zfs-dkms from Debian contrib; built into Proxmox # once per data drive: this erases it and asks for a passphrase cryptsetup luksFormat --type luks2 /dev/disk/by-id/ata-MODEL_SERIAL01 cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01 # ...repeat for data02, data03, data04 zpool create -o ashift=12 tank raidz2 \ /dev/mapper/data01 /dev/mapper/data02 /dev/mapper/data03 /dev/mapper/data04 # after every reboot: log in, open each drive, import the pool cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01 # ...repeat for each drive zpool import tank ``` ## ¿Puede el cifrado nativo de ZFS sustituir a LUKS? Sí, por dataset. Crea el dataset con `encryption=on` y una passphrase, y luego ejecuta `zfs load-key` y `zfs mount` tras cada reinicio. No hace falta tocar el initramfs. Pero oculta menos. El manual de OpenZFS dice que ZFS no cifra los metadatos de la estructura del pool: los nombres de datasets y snapshots, las propiedades y los tamaños de archivo siguen siendo legibles. LUKS cifra todo el disco, metadatos incluidos. Ambos están cubiertos por la misma promesa: Puedes cifrar cada disco de datos con LUKS o con el cifrado nativo de ZFS; las claves se quedan contigo y nadie del equipo te las pide nunca. ## ¿Cómo desbloqueo los discos automáticamente con Clevis y Tang? Ejecuta un servidor Tang en una máquina que controles en otro lugar y vincula cada disco a él. Clevis añade un nuevo slot de clave a LUKS y guarda la clave cifrada en la cabecera de LUKS. Al arrancar, pide a Tang que le ayude a recuperar la clave; tu passphrase sigue funcionando como antes. El manual de Clevis dice que el desbloqueo en el arranque temprano solo cubre el volumen raíz. Los discos de datos usan el desbloqueador de arranque tardío, que lee `/etc/crypttab`. En Debian, el paquete clevis-systemd desbloquea los dispositivos marcados con `_netdev` allí. Los discos solo se abren mientras el servidor de almacenamiento puede alcanzar tu servidor Tang. Permite solo la dirección IP del servidor de almacenamiento en el firewall de Tang. Los discos que salen de esa red se quedan bloqueados. *Tang en tu propia máquina, Clevis en el servidor de almacenamiento* ```bash # on your Tang machine, not on the storage server apt install tang systemctl enable tangd.socket --now # on the storage server apt install clevis clevis-luks clevis-systemd clevis luks bind -d /dev/disk/by-id/ata-MODEL_SERIAL01 tang '{"url": "http://TANG_ADDRESS"}' # ...repeat for each data drive # /etc/crypttab, one line per drive: # data01 /dev/disk/by-id/ata-MODEL_SERIAL01 none luks,_netdev systemctl enable clevis-luks-askpass.path # check the binding, or unlock by hand clevis luks list -d /dev/disk/by-id/ata-MODEL_SERIAL01 clevis luks unlock -d /dev/disk/by-id/ata-MODEL_SERIAL01 ``` ## ¿Cómo desbloqueo una raíz cifrada con dropbear-initramfs? Coloca un pequeño servidor SSH, dropbear, en el initramfs. Se inicia antes del sistema de archivos raíz, inicias sesión con tu clave y `cryptroot-unlock` pide la frase de contraseña. La guía de cryptsetup de Debian describe esto para sistemas headless. El README de Debian marca las reglas. Las claves van en `/etc/dropbear/initramfs/authorized_keys` y los inicios de sesión con contraseña están desactivados. Las opciones van en `/etc/dropbear/initramfs/dropbear.conf`. El controlador de red debe estar en `/etc/initramfs-tools/modules`, y una dirección estática se configura con el parámetro `ip=` del kernel. Las mismas rutas se aplican en Debian 12, Debian 13 y Ubuntu 24.04. El initramfs usa sus propias claves de host, así que tu cliente SSH avisa de que la clave ha cambiado. Mantén un archivo known_hosts aparte para él, como sugiere el README. *dropbear-initramfs en Debian o Ubuntu* ```bash apt install dropbear-initramfs # your public key, limited to the unlock command echo 'no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="/bin/cryptroot-unlock" ssh-ed25519 AAAA... you@laptop' \ > /etc/dropbear/initramfs/authorized_keys # listen on another port than the main SSH server echo 'DROPBEAR_OPTIONS="-p 2222"' >> /etc/dropbear/initramfs/dropbear.conf # static address in the initramfs: client::gateway:netmask::interface:off # add to GRUB_CMDLINE_LINUX in /etc/default/grub, for example: # ip=203.0.113.10::203.0.113.1:255.255.255.0::eno1:off update-grub update-initramfs -u -k all # from your computer, at each boot ssh -p 2222 -o UserKnownHostsFile=~/.ssh/known_hosts.initramfs root@203.0.113.10 ``` > **Una sola opción mal configurada deja el servidor sin conexión** Si el initramfs no obtiene red, nadie puede escribir la frase de contraseña y ninguna consola puede ayudar. Los reinicios, las reinstalaciones y las cancelaciones se solicitan en el panel y las gestiona el equipo; una reinstalación borra todos los discos, incluidos los de datos. Revisa dos veces el nombre de la interfaz, el controlador y la línea de ip= antes de reiniciar. ## ¿Qué protege el cifrado y qué no? Protege las unidades que están bloqueadas: apagadas, extraídas para sustituirlas o dejadas atrás tras una cancelación. Ahí es cuando el host o cualquier otra persona tiene el hardware sin tu clave. Lo que pasa con las unidades después de que te vayas está en [datos tras la cancelación](https://basalthold.com/es/data-after-server-cancellation/ "What happens to your data when you cancel a rented storage server"). Mientras el servidor está desbloqueado, la clave reside en memoria. Quien inicie sesión todavía puede borrar datos; ese riesgo se cubre en [backups inmutables](https://basalthold.com/es/immutable-backups/ "How to make backups immutable against ransomware on your own server"). Para los datos que el servidor nunca necesita leer, cifra en tu propia máquina antes de subirlos; consulta [backups cifrados en el cliente](https://basalthold.com/es/client-side-encrypted-backups/ "Client-side encryption for backups on a rented server"). De 23 vendedores de servidores de almacenamiento Basalthold comprobados el 2 November 2026, 2 pedían identificación antes de la entrega y 12 podían pedirla en función de determinados supuestos. El cifrado protege las unidades; Sin KYC: sin documento de identidad, sin selfie, sin documentos, sin tarjeta y sin número de teléfono, en ningún momento. ## ¿Qué más pregunta la gente sobre el desbloqueo remoto? ### ¿Hay consola KVM o IPMI en los servidores de Basalthold? No. No hay acceso IPMI ni KVM-over-IP para clientes; los reinicios y las reinstalaciones que solicites en el panel los lleva a cabo el equipo. Por eso esta página apuesta por cifrar las unidades de datos y mantener el sistema arrancable. ### ¿Y si me quedo fuera? Solicita una reinstalación en el panel. Los reinicios, las reinstalaciones y las cancelaciones se solicitan en el panel y las gestiona el equipo; una reinstalación borra todos los discos, incluidos los de datos. Mantén tus datos recuperables desde una segunda copia antes de cambiar la ruta de arranque. ### ¿El equipo de Basalthold necesita mi frase de contraseña de LUKS? No. Puedes cifrar cada disco de datos con LUKS o con el cifrado nativo de ZFS; las claves se quedan contigo y nadie del equipo te las pide nunca. ### ¿Puedo usar Clevis con un TPM en lugar de Tang? Clevis tiene un pin para TPM, pero entonces la clave quedaría dentro de la máquina alquilada. Un servidor Tang que controles tú mantiene parte del secreto fuera del hardware. ### ¿Puedo alquilar un servidor de almacenamiento cifrado con criptomonedas y sin KYC? Sí. Basalthold acepta BTC, USDT, USDC, ETH, SOL, LTC, XMR, desde una recarga de 1 US$. Las retenciones y condiciones están en [la lista de precios](https://basalthold.com/es/pricing/ "Basalthold storage server prices"). **Unidades en blanco, tus claves** Hold 40: AMD Ryzen 5 3600 (6 núcleos / 12 hilos), 64 GB DDR4, 4 × 10 TB de discos duros (40 TB en bruto) más 512 GB NVMe para el sistema, puerto de 1 Gbit/s con 60 TB de tráfico cada 30 días, 1 IPv4 y una IPv6 /64, por $201.09/30 días. Criptomonedas, sin KYC. [Alquila Hold 40 en Chisinau](https://basalthold.com/app/checkout/?plan=hold-40&location=md-kiv&lang=es) · [Alquila Hold 100 en Ámsterdam](https://basalthold.com/app/checkout/?plan=hold-100&location=nl-ams&lang=es) ## Fuentes 1. [README.initramfs de dropbear-initramfs (2025.89-1~deb13u1)](https://sources.debian.org/data/main/d/dropbear/2025.89-1~deb13u1/debian/README.initramfs) — Debian (read 2026-11-02) 2. [README.Debian de cryptsetup, sección 8: desbloquear remotamente el rootfs cifrado](https://sources.debian.org/data/main/c/cryptsetup/2:2.7.5-2/debian/README.Debian) — Debian (read 2026-11-02) 3. [Lista de archivos de dropbear-initramfs, Ubuntu noble](https://packages.ubuntu.com/noble/all/dropbear-initramfs/filelist) — Ubuntu (read 2026-11-02) 4. [README de Clevis: vincular volúmenes LUKS](https://github.com/latchset/clevis) — latchset (read 2026-11-02) 5. [clevis-luks-unlockers(7)](https://github.com/latchset/clevis/blob/master/src/luks/clevis-luks-unlockers.7.adoc) — latchset (read 2026-11-02) 6. [README de Tang](https://github.com/latchset/tang) — latchset (read 2026-11-02) 7. [Paquete clevis-systemd en Debian trixie](https://packages.debian.org/trixie/clevis-systemd) — Debian (read 2026-11-02) 8. [zfs-load-key(8): cifrado](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-load-key.8.html) — OpenZFS (read 2026-11-02) 9. [nfsroot: el parámetro del kernel ip=](https://docs.kernel.org/admin-guide/nfs/nfsroot.html) — Linux kernel documentation (read 2026-11-02) --- Basalthold: Basalthold alquila servidores dedicados de almacenamiento en Ámsterdam, Bucarest y Chisináu, pagados con criptomonedas y sin KYC: sin identificación, sin selfi, sin documentos. Cada servidor es una máquina física completa con discos duros de 24 TB a 160 TB para un solo cliente, entregada con discos de datos vacíos y acceso root, para copias de seguridad, archivos, sincronización de archivos y almacenamiento de objetos autoalojado. El 2 de noviembre de 2026, los precios iban desde $110.99 por 30 días por 24 TB hasta $561.39 por 160 TB ($3.50 por TB en bruto). Lo gestiona DomaineGoat LLC, una empresa registrada en Panamá, que no guarda registros y nunca pide tus claves de cifrado.