# LUKS-एन्क्रिप्टेड किराए के सर्वर को रिमोटली कैसे अनलॉक करें? > बिना कंसोल वाले किराए के सर्वर पर LUKS रिमोट अनलॉक: डेटा ड्राइव SSH से, Clevis और Tang से, या dropbear-initramfs से। Debian और Ubuntu; कोई KYC नहीं, क्रिप्टो। - URL: https://basalthold.com/hi/luks-remote-unlock/ - अंतिम अपडेट: 2026-11-02 - प्रकाशक: Basalthold (https://basalthold.com) जब रीबूट के बाद कंसोल पर कोई टाइप नहीं कर सकता, तो एन्क्रिप्टेड ड्राइव को वापस लाने के तीन तरीके। डेटा ड्राइव को SSH से अनलॉक करें, Clevis को Tang सर्वर से पूछने दें, या initramfs के अंदर dropbear में लॉग इन करें। **छोटा जवाब — LUKS-एन्क्रिप्टेड किराए के सर्वर को रिमोटली कैसे अनलॉक करें?** LUKS-एन्क्रिप्टेड किराए के सर्वर को रिमोटली अनलॉक करने के लिए, डेटा ड्राइव को एन्क्रिप्ट करें और बूट के बाद SSH से खोलें, या Clevis को अपने Tang सर्वर से कुंजी लाने दें। एन्क्रिप्टेड root के लिए, dropbear-initramfs जोड़ें और cryptroot-unlock चलाएं (Debian और Ubuntu पैकेज, 2 November 2026 को जांचा गया)। **Basalthold** सर्वर में कोई कंसोल नहीं होता; होल्ड $110.99 से शुरू होते हैं, केवल क्रिप्टो, कोई KYC नहीं। ## होल्ड पर आप किस चीज़ के साथ काम करते हैं? | विशेषता | मान | | --- | --- | | कंसोल | ग्राहकों के लिए IPMI या KVM-over-IP तक कोई पहुंच नहीं है; डैशबोर्ड में आपके द्वारा मांगे गए रीबूट और रीइंस्टॉल टीम द्वारा किए जाते हैं | | एन्क्रिप्शन | आप हर डेटा ड्राइव को LUKS या ZFS native encryption से एन्क्रिप्ट कर सकते हैं; चाबियाँ आपके पास ही रहती हैं और टीम का कोई भी व्यक्ति उन्हें कभी नहीं मांगता | | ड्राइव | ऑपरेटिंग सिस्टम अपनी अलग SSD पर होता है (बड़े होल्ड पर दो मिरर की गई SSD); डेटा ड्राइव खाली और बिना पार्टीशन के मिलती हैं, ताकि आप ZFS, mdadm array या कई स्वतंत्र डिस्क का सेट बना सकें। अगर आप चाहते हैं कि टीम डिलीवरी से पहले RAID 6 या RAID 10 array तैयार कर दे, तो सर्वर सौंपे जाने से पहले support को बताएं | | रीइंस्टॉल | रीबूट, रीइंस्टॉल और रद्दीकरण डैशबोर्ड में मांगे जाते हैं और टीम द्वारा संभाले जाते हैं; रीइंस्टॉल हर ड्राइव मिटा देता है, डेटा ड्राइव सहित | | लॉगिन | You log in as root over SSH: paste a public key at checkout and password logins stay off, or leave it empty and receive a temporary root password with the server, to replace at your first login | | सिस्टम | Debian 13, Debian 12, Ubuntu 24.04 LTS, AlmaLinux 10, Rocky Linux 10, Proxmox VE 9 और Proxmox Backup Server 4 | ## बिना कंसोल वाले सर्वर के लिए कौन-सा अनलॉक तरीका सही है? | तरीका | क्या एन्क्रिप्टेड है | रीबूट के बाद | बिना कंसोल के जोखिम | | --- | --- | --- | --- | | डेटा ड्राइव, SSH से अनलॉक | डेटा ड्राइव; सिस्टम SSD सादा रहता है | आप लॉग इन करते हैं और ड्राइव खोलते हैं | कम: सिस्टम हमेशा बूट होता है | | डेटा ड्राइव, Clevis और Tang | डेटा ड्राइव | जब आपका Tang सर्वर जवाब देता है तो अनलॉक होती हैं | कम: पासफ्रेज़ अभी भी हाथ से काम करता है | | एन्क्रिप्टेड root, dropbear-initramfs | सब कुछ, सिस्टम सहित | आप initramfs में लॉग इन करते हैं और पासफ्रेज़ टाइप करते हैं | ज़्यादा: एक नेटवर्क गलती सर्वर को ऑफ़लाइन रख देती है | ## किराए के सर्वर पर रिमोट अनलॉक क्यों मायने रखता है? क्योंकि एन्क्रिप्टेड ड्राइव हर बूट पर अपनी कुंजी का इंतज़ार करती है, और स्क्रीन पर कोई नहीं होता। ग्राहकों के लिए IPMI या KVM-over-IP तक कोई पहुंच नहीं है; डैशबोर्ड में आपके द्वारा मांगे गए रीबूट और रीइंस्टॉल टीम द्वारा किए जाते हैं। इसलिए एन्क्रिप्ट करने से पहले अनलॉक की योजना बनाएं। होल्ड पर, ऑपरेटिंग सिस्टम अपने अलग SSD पर रहता है और डेटा ड्राइव खाली मिलती हैं। यही बंटवारा पहला तरीका आसान बनाता है: सिस्टम को सादा रखें, जो ड्राइव आपका डेटा रखती हैं उन्हें एन्क्रिप्ट करें। **जो ड्राइव आपका डेटा रखती हैं उन्हें एन्क्रिप्ट करें; बूट पथ को इतना सरल रखें कि SSH से ठीक किया जा सके।** ## मैं डेटा ड्राइव को कैसे एन्क्रिप्ट करूं और रीबूट के बाद उन्हें अनलॉक कैसे करूं? हर डेटा ड्राइव को LUKS2 के रूप में फ़ॉर्मेट करें, उसे खोलें, और खोले गए डिवाइस पर array बनाएं। पासफ्रेज़ कभी सर्वर की डिस्क को नहीं छूता। रीबूट के बाद, सिस्टम आ जाता है, आप SSH से लॉग इन करते हैं, और ड्राइव फिर से खोलते हैं। ऊपर array का चुनाव [ZFS या हार्डवेयर RAID](https://basalthold.com/hi/zfs-vs-hardware-raid/ "ZFS or hardware RAID on a rented storage server") पर निर्भर है। जो सेवाएं pool का इस्तेमाल करती हैं वे आपके ऐसा करने तक इंतज़ार करती हैं। एक बाहरी uptime चेक, या ऐसी स्क्रिप्ट जो pool गायब होने पर अलर्ट दे, आपको बताती है कि रीबूट हुआ था। *डेटा ड्राइव को एन्क्रिप्ट करें, फिर उन पर pool बनाएं* ```bash apt install cryptsetup # ZFS tools: zfsutils-linux and zfs-dkms from Debian contrib; built into Proxmox # once per data drive: this erases it and asks for a passphrase cryptsetup luksFormat --type luks2 /dev/disk/by-id/ata-MODEL_SERIAL01 cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01 # ...repeat for data02, data03, data04 zpool create -o ashift=12 tank raidz2 \ /dev/mapper/data01 /dev/mapper/data02 /dev/mapper/data03 /dev/mapper/data04 # after every reboot: log in, open each drive, import the pool cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01 # ...repeat for each drive zpool import tank ``` ## क्या ZFS नेटिव एन्क्रिप्शन LUKS की जगह ले सकता है? हां, प्रति dataset। dataset को `encryption=on` और एक पासफ्रेज़ के साथ बनाएं, फिर हर रीबूट के बाद `zfs load-key` और `zfs mount` चलाएं। कोई initramfs काम की ज़रूरत नहीं है। हालांकि, यह कम छिपाता है। OpenZFS मैनुअल कहता है कि ZFS pool-संरचना के metadata को एन्क्रिप्ट नहीं करता: dataset और snapshot के नाम, प्रॉपर्टी और फ़ाइल साइज़ पढ़े जा सकते रहते हैं। LUKS पूरी ड्राइव को एन्क्रिप्ट करता है, metadata सहित। दोनों एक ही वादे के अंतर्गत आते हैं: आप हर डेटा ड्राइव को LUKS या ZFS native encryption से एन्क्रिप्ट कर सकते हैं; चाबियाँ आपके पास ही रहती हैं और टीम का कोई भी व्यक्ति उन्हें कभी नहीं मांगता। ## Clevis और Tang के साथ ड्राइव को स्वचालित रूप से कैसे अनलॉक करूं? कहीं और आपके नियंत्रण वाली मशीन पर Tang सर्वर चलाएं, और हर ड्राइव को उससे बाइंड करें। Clevis LUKS में एक नया key slot जोड़ता है और एन्क्रिप्टेड कुंजी को LUKS हेडर में रखता है। बूट पर यह कुंजी वापस पाने में मदद के लिए Tang से पूछता है; आपका पासफ्रेज़ पहले की तरह काम करता रहता है। Clevis मैनुअल कहता है कि early-boot unlocking केवल root volume को कवर करता है। डेटा ड्राइव late-boot unlocker का इस्तेमाल करती हैं, जो `/etc/crypttab` पढ़ता है। Debian पर, clevis-systemd पैकेज वहां `_netdev` से चिह्नित डिवाइस को अनलॉक करता है। ड्राइव तभी खुलती हैं जब स्टोरेज सर्वर आपके Tang सर्वर तक पहुंच सके। Tang के firewall से केवल स्टोरेज सर्वर का IP पता अनुमति दें। उस नेटवर्क से बाहर जाने वाली ड्राइव लॉक रहती हैं। *आपकी अपनी मशीन पर Tang, स्टोरेज सर्वर पर Clevis* ```bash # on your Tang machine, not on the storage server apt install tang systemctl enable tangd.socket --now # on the storage server apt install clevis clevis-luks clevis-systemd clevis luks bind -d /dev/disk/by-id/ata-MODEL_SERIAL01 tang '{"url": "http://TANG_ADDRESS"}' # ...repeat for each data drive # /etc/crypttab, one line per drive: # data01 /dev/disk/by-id/ata-MODEL_SERIAL01 none luks,_netdev systemctl enable clevis-luks-askpass.path # check the binding, or unlock by hand clevis luks list -d /dev/disk/by-id/ata-MODEL_SERIAL01 clevis luks unlock -d /dev/disk/by-id/ata-MODEL_SERIAL01 ``` ## मैं dropbear-initramfs से एन्क्रिप्टेड root को कैसे अनलॉक करूं? initramfs में एक छोटा SSH server, dropbear, डालें। यह root filesystem से पहले शुरू होता है, आप अपनी key से लॉग इन करते हैं, और `cryptroot-unlock` passphrase मांगता है। Debian की cryptsetup गाइड headless systems के लिए यही तरीका बताती है। Debian का README नियम तय करता है। Keys `/etc/dropbear/initramfs/authorized_keys` में जाती हैं, और password लॉगिन बंद रहता है। Options `/etc/dropbear/initramfs/dropbear.conf` में जाते हैं। Network driver `/etc/initramfs-tools/modules` में होना चाहिए, और static address kernel के `ip=` parameter से सेट होता है। यही paths Debian 12, Debian 13 और Ubuntu 24.04 पर लागू होते हैं। initramfs अपनी अलग host keys इस्तेमाल करता है, इसलिए आपका SSH client बदली हुई key की चेतावनी देता है। इसके लिए एक अलग known_hosts फ़ाइल रखें, जैसा README सुझाता है। *Debian या Ubuntu पर dropbear-initramfs* ```bash apt install dropbear-initramfs # your public key, limited to the unlock command echo 'no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="/bin/cryptroot-unlock" ssh-ed25519 AAAA... you@laptop' \ > /etc/dropbear/initramfs/authorized_keys # listen on another port than the main SSH server echo 'DROPBEAR_OPTIONS="-p 2222"' >> /etc/dropbear/initramfs/dropbear.conf # static address in the initramfs: client::gateway:netmask::interface:off # add to GRUB_CMDLINE_LINUX in /etc/default/grub, for example: # ip=203.0.113.10::203.0.113.1:255.255.255.0::eno1:off update-grub update-initramfs -u -k all # from your computer, at each boot ssh -p 2222 -o UserKnownHostsFile=~/.ssh/known_hosts.initramfs root@203.0.113.10 ``` > **एक गलत सेटिंग server को offline रख देती है** अगर initramfs को network नहीं मिलता, तो कोई passphrase टाइप नहीं कर सकता और कोई console मदद नहीं कर सकता। रीबूट, रीइंस्टॉल और रद्दीकरण डैशबोर्ड में मांगे जाते हैं और टीम द्वारा संभाले जाते हैं; रीइंस्टॉल हर ड्राइव मिटा देता है, डेटा ड्राइव सहित। reboot करने से पहले interface का नाम, driver और ip= लाइन दो बार जांचें। ## encryption क्या सुरक्षित करता है, और क्या नहीं? यह उन drives की रक्षा करता है जो लॉक हैं: power off, बदलने के लिए निकाली गई, या cancellation के बाद छोड़ी गई। तभी host या कोई और आपकी key के बिना hardware के पास होता है। आपके जाने के बाद drives का क्या होता है, यह [cancellation के बाद data](https://basalthold.com/hi/data-after-server-cancellation/ "What happens to your data when you cancel a rented storage server") पर है। जब तक server unlocked चलता है, key memory में रहती है। जो लॉग इन कर लेता है वह फिर भी data मिटा सकता है; वह जोखिम [immutable backups](https://basalthold.com/hi/immutable-backups/ "How to make backups immutable against ransomware on your own server") पर कवर है। जो data server को कभी पढ़ना नहीं है, उसे upload से पहले अपनी मशीन पर encrypt करें; देखें [client-side encrypted backups](https://basalthold.com/hi/client-side-encrypted-backups/ "Client-side encryption for backups on a rented server")। 2 November 2026 को Basalthold में जांचे गए 23 storage-server विक्रेताओं में, 2 ने delivery से पहले ID मांगी और 12 कुछ triggers पर मांग सकते थे। encryption drives की रक्षा करता है; कोई KYC नहीं: किसी भी समय कोई ID नहीं, कोई सेल्फ़ी नहीं, कोई दस्तावेज़ नहीं, कोई कार्ड नहीं और कोई फ़ोन नंबर नहीं। ## remote unlock के बारे में लोग और क्या पूछते हैं? ### क्या Basalthold servers पर KVM या IPMI console है? नहीं। ग्राहकों के लिए IPMI या KVM-over-IP तक कोई पहुंच नहीं है; डैशबोर्ड में आपके द्वारा मांगे गए रीबूट और रीइंस्टॉल टीम द्वारा किए जाते हैं। इसीलिए यह पेज data drives को encrypt करने और system को bootable रखने को प्राथमिकता देता है। ### अगर मैं खुद को लॉक आउट कर दूं तो? dashboard में reinstall का अनुरोध करें। रीबूट, रीइंस्टॉल और रद्दीकरण डैशबोर्ड में मांगे जाते हैं और टीम द्वारा संभाले जाते हैं; रीइंस्टॉल हर ड्राइव मिटा देता है, डेटा ड्राइव सहित। boot path बदलने से पहले अपना data दूसरी copy से recoverable रखें। ### क्या Basalthold team को मेरा LUKS passphrase चाहिए? नहीं। आप हर डेटा ड्राइव को LUKS या ZFS native encryption से एन्क्रिप्ट कर सकते हैं; चाबियाँ आपके पास ही रहती हैं और टीम का कोई भी व्यक्ति उन्हें कभी नहीं मांगता। ### क्या मैं Tang की जगह TPM के साथ Clevis इस्तेमाल कर सकता हूं? Clevis में TPM pin है, लेकिन तब key किराए की मशीन के अंदर ही रहेगी। आपका नियंत्रण वाला Tang server secret का एक हिस्सा hardware से दूर रखता है। ### क्या मैं crypto से no KYC के साथ encrypted storage server किराए पर ले सकता हूं? हां। Basalthold BTC, USDT, USDC, ETH, SOL, LTC लेता है, $25 के top-up से। Holds और terms [price list](https://basalthold.com/hi/pricing/ "Basalthold storage server prices") पर हैं। **खाली drives, आपकी keys** Hold 40: $201.09/30 दिन के लिए AMD Ryzen 5 3600 (6 कोर / 12 थ्रेड), 64 GB DDR4, 4 × 10 TB हार्ड ड्राइव (40 TB रॉ) और सिस्टम के लिए 512 GB NVMe, 1 Gbit/s पोर्ट जिसमें हर 30 दिन में 60 TB ट्रैफ़िक, 1 IPv4 और एक IPv6 /64। क्रिप्टो, कोई KYC नहीं। [Chisinau में Hold 40 किराए पर लें](https://basalthold.com/app/checkout/?plan=hold-40&location=md-kiv&lang=hi) · [Amsterdam में Hold 100 किराए पर लें](https://basalthold.com/app/checkout/?plan=hold-100&location=nl-ams&lang=hi) ## स्रोत 1. [dropbear-initramfs README.initramfs (2025.89-1~deb13u1)](https://sources.debian.org/data/main/d/dropbear/2025.89-1~deb13u1/debian/README.initramfs) — Debian (read 2026-11-02) 2. [cryptsetup README.Debian, section 8: Remotely unlock encrypted rootfs](https://sources.debian.org/data/main/c/cryptsetup/2:2.7.5-2/debian/README.Debian) — Debian (read 2026-11-02) 3. [dropbear-initramfs फ़ाइल सूची, Ubuntu noble](https://packages.ubuntu.com/noble/all/dropbear-initramfs/filelist) — Ubuntu (read 2026-11-02) 4. [Clevis README: LUKS वॉल्यूम बाइंड करना](https://github.com/latchset/clevis) — latchset (read 2026-11-02) 5. [clevis-luks-unlockers(7)](https://github.com/latchset/clevis/blob/master/src/luks/clevis-luks-unlockers.7.adoc) — latchset (read 2026-11-02) 6. [Tang README](https://github.com/latchset/tang) — latchset (read 2026-11-02) 7. [Debian trixie में पैकेज clevis-systemd](https://packages.debian.org/trixie/clevis-systemd) — Debian (read 2026-11-02) 8. [zfs-load-key(8): एन्क्रिप्शन](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-load-key.8.html) — OpenZFS (read 2026-11-02) 9. [nfsroot: kernel पैरामीटर ip=](https://docs.kernel.org/admin-guide/nfs/nfsroot.html) — Linux kernel documentation (read 2026-11-02) --- Basalthold: Basalthold Amsterdam, Bucharest और Chisinau में स्टोरेज डेडिकेटेड सर्वर किराए पर देता है, जिनका भुगतान क्रिप्टो में होता है और कोई KYC नहीं: न ID, न सेल्फी, न दस्तावेज़। हर सर्वर एक पूरी फिज़िकल मशीन है जिसमें एक ग्राहक के लिए 24 TB से 160 TB तक हार्ड ड्राइव होती हैं, जो खाली डेटा ड्राइव और root एक्सेस के साथ मिलती है — बैकअप, आर्काइव, फ़ाइल सिंक और सेल्फ-होस्टेड ऑब्जेक्ट स्टोरेज के लिए। 2 नवंबर 2026 को कीमतें 24 TB के लिए $110.99 प्रति 30 दिन से लेकर 160 TB के लिए $561.39 तक थीं ($3.50 प्रति रॉ TB)। इसे DomaineGoat LLC चलाता है, जो Panama में पंजीकृत कंपनी है, कोई लॉग नहीं रखती और कभी आपकी एन्क्रिप्शन कुंजियाँ नहीं माँगती।