Bagaimana cara membuka server sewaan yang terenkripsi LUKS dari jarak jauh?

Mengapa remote unlock penting di server sewaan?

Karena drive terenkripsi menunggu key-nya di setiap boot, dan tidak ada orang di depan layar. Tidak ada akses IPMI atau KVM-over-IP untuk pelanggan; reboot dan reinstall yang Anda minta di dashboard dilakukan oleh tim.

Jadi rencanakan unlock sebelum Anda mengenkripsi. Saat menyewa server, sistem operasi berada di SSD-nya sendiri dan data drive datang dalam keadaan kosong. Pemisahan itu memudahkan metode pertama: biarkan sistem tanpa enkripsi, enkripsi drive yang menyimpan data Anda.

Enkripsi drive yang menyimpan data Anda; jaga jalur boot cukup sederhana agar bisa diperbaiki lewat SSH.

Bagaimana cara mengenkripsi data drive dan membukanya setelah reboot?

Format setiap data drive sebagai LUKS2, buka, lalu bangun array di atas device yang sudah dibuka. Passphrase tidak pernah menyentuh disk server. Setelah reboot, sistem menyala, Anda login lewat SSH, dan membuka drive-nya lagi. Pilihan array di atasnya ada di ZFS atau hardware RAID.

Layanan yang memakai pool akan menunggu sampai Anda membukanya. Pemeriksaan uptime dari luar, atau skrip yang memberi peringatan saat pool tidak ada, memberi tahu Anda bahwa sudah terjadi reboot.

apt install cryptsetup
# ZFS tools: zfsutils-linux and zfs-dkms from Debian contrib; built into Proxmox

# once per data drive: this erases it and asks for a passphrase
cryptsetup luksFormat --type luks2 /dev/disk/by-id/ata-MODEL_SERIAL01
cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01
# ...repeat for data02, data03, data04

zpool create -o ashift=12 tank raidz2 \
  /dev/mapper/data01 /dev/mapper/data02 /dev/mapper/data03 /dev/mapper/data04

# after every reboot: log in, open each drive, import the pool
cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01
# ...repeat for each drive
zpool import tank

Apakah enkripsi native ZFS bisa menggantikan LUKS?

Bisa, per dataset. Buat dataset dengan encryption=on dan sebuah passphrase, lalu jalankan zfs load-key dan zfs mount setelah setiap reboot. Tidak perlu mengurus initramfs.

Tapi cakupannya lebih sedikit. Manual OpenZFS menyebutkan ZFS tidak mengenkripsi metadata struktur pool: nama dataset dan snapshot, properti, serta ukuran file tetap terbaca. LUKS mengenkripsi seluruh drive, termasuk metadata. Keduanya tercakup oleh janji yang sama: Anda dapat mengenkripsi setiap drive data dengan LUKS atau enkripsi native ZFS; kuncinya tetap di tangan Anda dan tidak ada anggota tim yang pernah memintanya.

Bagaimana cara membuka drive secara otomatis dengan Clevis dan Tang?

Jalankan server Tang di mesin yang Anda kendalikan di tempat lain, lalu ikat setiap drive ke server itu. Clevis menambahkan key slot baru ke LUKS dan menyimpan key terenkripsi di header LUKS. Saat boot, Clevis meminta Tang membantu memulihkan key; passphrase Anda tetap berfungsi seperti sebelumnya.

Manual Clevis menyebutkan unlock saat early-boot hanya mencakup volume root. Data drive memakai unlocker late-boot, yang membaca /etc/crypttab. Di Debian, paket clevis-systemd membuka device yang ditandai _netdev di sana.

Drive hanya terbuka selama server penyimpanan bisa menjangkau server Tang Anda. Izinkan hanya alamat IP server penyimpanan lewat firewall Tang. Drive yang keluar dari jaringan itu tetap terkunci.

# on your Tang machine, not on the storage server
apt install tang
systemctl enable tangd.socket --now

# on the storage server
apt install clevis clevis-luks clevis-systemd
clevis luks bind -d /dev/disk/by-id/ata-MODEL_SERIAL01 tang '{"url": "http://TANG_ADDRESS"}'
# ...repeat for each data drive

# /etc/crypttab, one line per drive:
# data01  /dev/disk/by-id/ata-MODEL_SERIAL01  none  luks,_netdev

systemctl enable clevis-luks-askpass.path

# check the binding, or unlock by hand
clevis luks list -d /dev/disk/by-id/ata-MODEL_SERIAL01
clevis luks unlock -d /dev/disk/by-id/ata-MODEL_SERIAL01

Bagaimana cara membuka root terenkripsi dengan dropbear-initramfs?

Letakkan server SSH kecil, dropbear, ke dalam initramfs. Server ini mulai berjalan sebelum filesystem root, Anda login dengan key Anda, dan cryptroot-unlock meminta passphrase. Panduan cryptsetup Debian menjelaskan hal ini untuk sistem headless.

README Debian menetapkan aturannya. Key diletakkan di /etc/dropbear/initramfs/authorized_keys, dan login dengan password dimatikan. Opsi diletakkan di /etc/dropbear/initramfs/dropbear.conf. Driver jaringan harus ada di /etc/initramfs-tools/modules, dan alamat statis diatur dengan parameter ip= milik kernel. Path yang sama berlaku di Debian 12, Debian 13 dan Ubuntu 24.04.

initramfs memakai host key-nya sendiri, jadi klien SSH Anda memberi peringatan tentang key yang berubah. Simpan file known_hosts terpisah untuknya, seperti yang disarankan README.

apt install dropbear-initramfs

# your public key, limited to the unlock command
echo 'no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="/bin/cryptroot-unlock" ssh-ed25519 AAAA... you@laptop' \
  > /etc/dropbear/initramfs/authorized_keys

# listen on another port than the main SSH server
echo 'DROPBEAR_OPTIONS="-p 2222"' >> /etc/dropbear/initramfs/dropbear.conf

# static address in the initramfs: client::gateway:netmask::interface:off
# add to GRUB_CMDLINE_LINUX in /etc/default/grub, for example:
# ip=203.0.113.10::203.0.113.1:255.255.255.0::eno1:off
update-grub
update-initramfs -u -k all

# from your computer, at each boot
ssh -p 2222 -o UserKnownHostsFile=~/.ssh/known_hosts.initramfs [email protected]

Apa yang dilindungi enkripsi, dan apa yang tidak?

Enkripsi melindungi drive yang terkunci: dimatikan, dicabut untuk diganti, atau ditinggalkan setelah pembatalan. Saat itulah host atau siapa pun memegang hardware tanpa key Anda. Apa yang terjadi pada drive setelah Anda pergi ada di data setelah pembatalan.

Selama server berjalan dalam keadaan tidak terkunci, key berada di memori. Seseorang yang login masih bisa menghapus data; risiko itu dibahas di backup immutable. Untuk data yang tidak perlu pernah dibaca server, enkripsi di mesin Anda sendiri sebelum diunggah; lihat backup terenkripsi sisi klien.

Dari 23 penjual storage server yang Basalthold periksa pada 2 November 2026, 2 mewajibkan ID sebelum pengiriman dan 12 bisa memintanya pada pemicu tertentu. Enkripsi melindungi drive; Tanpa KYC: tanpa ID, tanpa selfie, tanpa dokumen, tanpa kartu, dan tanpa nomor telepon, pada titik mana pun.