# Come sblocco da remoto un server noleggiato con LUKS? > Sblocco remoto LUKS su un server noleggiato senza console: dischi dati via SSH, Clevis e Tang, oppure dropbear-initramfs. Debian e Ubuntu; senza KYC, crypto. - URL: https://basalthold.com/it/luks-remote-unlock/ - Ultimo aggiornamento: 2026-11-02 - Editore: Basalthold (https://basalthold.com) Tre modi per riportare in vita i dischi cifrati dopo un riavvio quando nessuno può digitare alla console. Apri i dischi dati via SSH, lascia che Clevis interroghi un server Tang, oppure accedi a dropbear dentro l'initramfs. **Risposta rapida — Come sblocco da remoto un server noleggiato con LUKS?** Per sbloccare da remoto un server noleggiato con LUKS, cifra i dischi dati e aprili via SSH dopo il boot, oppure lascia che Clevis recuperi la chiave dal tuo server Tang. Per una root cifrata, aggiungi dropbear-initramfs ed esegui cryptroot-unlock (pacchetti Debian e Ubuntu, verificato 2 November 2026). I server **Basalthold** non hanno console; i noleggi partono da 110,99 USD, solo crypto, senza KYC. ## Su cosa lavori in un noleggio? | Attributo | Valore | | --- | --- | | Console | Non c'è accesso IPMI o KVM-over-IP per i clienti; i riavvii e le reinstallazioni che richiedi nella dashboard vengono eseguiti dal team | | Crittografia | Puoi cifrare ogni disco dati con LUKS o la crittografia nativa di ZFS; le chiavi restano con te e nessuno del team te le chiede mai | | Dischi | Il sistema operativo risiede su un SSD dedicato (due SSD in mirror sulle configurazioni più grandi); i dischi dati arrivano vuoti e non partizionati, così puoi creare ZFS, un array mdadm o un insieme di dischi indipendenti. Se vuoi che il team prepari un array RAID 6 o RAID 10 prima della consegna, segnalalo al supporto prima che il server venga assegnato | | Reinstallazioni | Riavvii, reinstallazioni e cancellazioni si richiedono nella dashboard e vengono gestiti dal team; una reinstallazione cancella ogni disco, dischi dati inclusi | | Login | You log in as root over SSH: paste a public key at checkout and password logins stay off, or leave it empty and receive a temporary root password with the server, to replace at your first login | | Sistemi | Debian 13, Debian 12, Ubuntu 24.04 LTS, AlmaLinux 10, Rocky Linux 10, Proxmox VE 9 e Proxmox Backup Server 4 | ## Quale metodo di sblocco va bene per un server senza console? | Metodo | Cosa è cifrato | Dopo un riavvio | Rischio senza console | | --- | --- | --- | --- | | Dischi dati, sbloccati via SSH | I dischi dati; l'SSD di sistema resta in chiaro | Accedi e apri i dischi | Basso: il sistema si avvia sempre | | Dischi dati, Clevis e Tang | I dischi dati | Sbloccati quando il tuo server Tang risponde | Basso: la passphrase funziona ancora a mano | | Root cifrata, dropbear-initramfs | Tutto, sistema incluso | Accedi all'initramfs e digiti la passphrase | Alto: un errore di rete tiene il server offline | ## Perché lo sblocco remoto conta su un server noleggiato? Perché un disco cifrato aspetta la sua chiave a ogni boot, e nessuno è davanti allo schermo. Non c'è accesso IPMI o KVM-over-IP per i clienti; i riavvii e le reinstallazioni che richiedi nella dashboard vengono eseguiti dal team. Quindi pianifica lo sblocco prima di cifrare. In un noleggio, il sistema operativo vive sul suo SSD e i dischi dati arrivano vuoti. Questa separazione rende facile il primo metodo: lascia il sistema in chiaro, cifra i dischi che contengono i tuoi dati. **Cifra i dischi che contengono i tuoi dati; tieni il percorso di boot abbastanza semplice da poterlo sistemare via SSH.** ## Come cifro i dischi dati e li sblocco dopo un riavvio? Formatta ogni disco dati come LUKS2, aprilo e costruisci l'array sui dispositivi aperti. La passphrase non tocca mai il disco del server. Dopo un riavvio, il sistema si avvia, accedi via SSH e riapri i dischi. La scelta dell'array sopra è su [ZFS o RAID hardware](https://basalthold.com/it/zfs-vs-hardware-raid/ "ZFS or hardware RAID on a rented storage server"). I servizi che usano il pool aspettano che lo faccia tu. Un controllo di uptime esterno, o uno script che avvisa quando il pool manca, ti dice che c'è stato un riavvio. *Cifra i dischi dati, poi costruisci il pool su di essi* ```bash apt install cryptsetup # ZFS tools: zfsutils-linux and zfs-dkms from Debian contrib; built into Proxmox # once per data drive: this erases it and asks for a passphrase cryptsetup luksFormat --type luks2 /dev/disk/by-id/ata-MODEL_SERIAL01 cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01 # ...repeat for data02, data03, data04 zpool create -o ashift=12 tank raidz2 \ /dev/mapper/data01 /dev/mapper/data02 /dev/mapper/data03 /dev/mapper/data04 # after every reboot: log in, open each drive, import the pool cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01 # ...repeat for each drive zpool import tank ``` ## La crittografia nativa di ZFS può sostituire LUKS? Sì, per dataset. Crea il dataset con `encryption=on` e una passphrase, poi esegui `zfs load-key` e `zfs mount` dopo ogni riavvio. Non serve alcun lavoro sull'initramfs. Però nasconde meno. Il manuale OpenZFS dice che ZFS non cifra i metadati della struttura del pool: i nomi di dataset e snapshot, le proprietà e le dimensioni dei file restano leggibili. LUKS cifra l'intero disco, metadati inclusi. Entrambi sono coperti dalla stessa promessa: Puoi cifrare ogni disco dati con LUKS o la crittografia nativa di ZFS; le chiavi restano con te e nessuno del team te le chiede mai. ## Come sblocco i dischi automaticamente con Clevis e Tang? Esegui un server Tang su una macchina che controlli altrove e collega ogni disco ad esso. Clevis aggiunge un nuovo key slot a LUKS e memorizza la chiave cifrata nell'header LUKS. Al boot chiede a Tang di aiutare a recuperare la chiave; la tua passphrase continua a funzionare come prima. Il manuale di Clevis dice che lo sblocco in early-boot copre solo il volume root. I dischi dati usano l'unlocker in late-boot, che legge `/etc/crypttab`. Su Debian, il pacchetto clevis-systemd sblocca i dispositivi contrassegnati `_netdev` lì. I dischi si aprono solo finché il server di storage raggiunge il tuo server Tang. Consenti solo l'indirizzo IP del server di storage nel firewall di Tang. I dischi che escono da quella rete restano bloccati. *Tang sulla tua macchina, Clevis sul server di storage* ```bash # on your Tang machine, not on the storage server apt install tang systemctl enable tangd.socket --now # on the storage server apt install clevis clevis-luks clevis-systemd clevis luks bind -d /dev/disk/by-id/ata-MODEL_SERIAL01 tang '{"url": "http://TANG_ADDRESS"}' # ...repeat for each data drive # /etc/crypttab, one line per drive: # data01 /dev/disk/by-id/ata-MODEL_SERIAL01 none luks,_netdev systemctl enable clevis-luks-askpass.path # check the binding, or unlock by hand clevis luks list -d /dev/disk/by-id/ata-MODEL_SERIAL01 clevis luks unlock -d /dev/disk/by-id/ata-MODEL_SERIAL01 ``` ## Come sblocco una root cifrata con dropbear-initramfs? Inserisci un piccolo server SSH, dropbear, nell'initramfs. Si avvia prima del filesystem root, accedi con la tua chiave e `cryptroot-unlock` chiede la passphrase. La guida di Debian a cryptsetup lo descrive per i sistemi headless. Il README di Debian stabilisce le regole. Le chiavi vanno in `/etc/dropbear/initramfs/authorized_keys` e gli accessi con password sono disattivati. Le opzioni vanno in `/etc/dropbear/initramfs/dropbear.conf`. Il driver di rete deve essere in `/etc/initramfs-tools/modules` e un indirizzo statico si imposta con il parametro `ip=` del kernel. Gli stessi percorsi valgono su Debian 12, Debian 13 e Ubuntu 24.04. L'initramfs usa le proprie host key, quindi il tuo client SSH avvisa che la chiave è cambiata. Tienine un file known_hosts separato, come suggerisce il README. *dropbear-initramfs su Debian o Ubuntu* ```bash apt install dropbear-initramfs # your public key, limited to the unlock command echo 'no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="/bin/cryptroot-unlock" ssh-ed25519 AAAA... you@laptop' \ > /etc/dropbear/initramfs/authorized_keys # listen on another port than the main SSH server echo 'DROPBEAR_OPTIONS="-p 2222"' >> /etc/dropbear/initramfs/dropbear.conf # static address in the initramfs: client::gateway:netmask::interface:off # add to GRUB_CMDLINE_LINUX in /etc/default/grub, for example: # ip=203.0.113.10::203.0.113.1:255.255.255.0::eno1:off update-grub update-initramfs -u -k all # from your computer, at each boot ssh -p 2222 -o UserKnownHostsFile=~/.ssh/known_hosts.initramfs root@203.0.113.10 ``` > **Un'impostazione sbagliata tiene il server offline** Se l'initramfs non riceve rete, nessuno può digitare la passphrase e nessuna console può aiutare. Riavvii, reinstallazioni e cancellazioni si richiedono nella dashboard e vengono gestiti dal team; una reinstallazione cancella ogni disco, dischi dati inclusi. Controlla due volte il nome dell'interfaccia, il driver e la riga ip= prima di riavviare. ## Cosa protegge la crittografia e cosa no? Protegge i dischi bloccati: spenti, rimossi per la sostituzione o lasciati indietro dopo una disdetta. È allora che il provider o chiunque altro ha l'hardware senza la tua chiave. Cosa succede ai dischi dopo che te ne vai è spiegato in [dati dopo la disdetta](https://basalthold.com/it/data-after-server-cancellation/ "What happens to your data when you cancel a rented storage server"). Mentre il server è acceso e sbloccato, la chiave resta in memoria. Chi effettua l'accesso può comunque cancellare dati; quel rischio è trattato in [backup immutabili](https://basalthold.com/it/immutable-backups/ "How to make backups immutable against ransomware on your own server"). Per i dati che il server non deve mai leggere, crittografa sulla tua macchina prima del caricamento; vedi [backup crittografati lato client](https://basalthold.com/it/client-side-encrypted-backups/ "Client-side encryption for backups on a rented server"). Di 23 venditori di server di storage Basalthold verificati il 2 November 2026, 2 richiedevano un documento prima della consegna e 12 potevano chiederlo al verificarsi di alcuni trigger. La crittografia protegge i dischi; Nessun KYC: nessun documento d'identità, nessun selfie, nessun documento, nessuna carta e nessun numero di telefono, in nessun momento. ## Cos'altro si chiede sullo sblocco remoto? ### C'è una console KVM o IPMI sui server Basalthold? No. Non c'è accesso IPMI o KVM-over-IP per i clienti; i riavvii e le reinstallazioni che richiedi nella dashboard vengono eseguiti dal team. Ecco perché questa pagina preferisce crittografare i dischi dati e mantenere il sistema avviabile. ### E se mi chiudo fuori? Richiedi una reinstallazione dalla dashboard. Riavvii, reinstallazioni e cancellazioni si richiedono nella dashboard e vengono gestiti dal team; una reinstallazione cancella ogni disco, dischi dati inclusi. Assicurati di poter recuperare i tuoi dati da una seconda copia prima di modificare il percorso di boot. ### Il team Basalthold ha bisogno della mia passphrase LUKS? No. Puoi cifrare ogni disco dati con LUKS o la crittografia nativa di ZFS; le chiavi restano con te e nessuno del team te le chiede mai. ### Posso usare Clevis con un TPM invece di Tang? Clevis ha un pin TPM, ma la chiave resterebbe poi dentro la macchina noleggiata. Un server Tang che controlli tu tiene parte del segreto lontano dall'hardware. ### Posso noleggiare un server di storage crittografato pagando in criptovalute e senza KYC? Sì. Basalthold accetta BTC, USDT, USDC, ETH, SOL, LTC, XMR, a partire da una ricarica di 1 USD. Blocchi e condizioni sono nel [listino prezzi](https://basalthold.com/it/pricing/ "Basalthold storage server prices"). **Dischi vuoti, chiavi tue** Hold 40: AMD Ryzen 5 3600 (6 core / 12 thread), 64 GB DDR4, 4 × 10 TB di dischi rigidi (40 TB raw) più 512 GB NVMe per il sistema, porta da 1 Gbit/s con 60 TB di traffico ogni 30 giorni, 1 IPv4 e un IPv6 /64, per $201,09/30 giorni. Criptovalute, senza KYC. [Noleggia Hold 40 a Chisinau](https://basalthold.com/app/checkout/?plan=hold-40&location=md-kiv&lang=it) · [Affitta Hold 100 ad Amsterdam](https://basalthold.com/app/checkout/?plan=hold-100&location=nl-ams&lang=it) ## Fonti 1. [dropbear-initramfs README.initramfs (2025.89-1~deb13u1)](https://sources.debian.org/data/main/d/dropbear/2025.89-1~deb13u1/debian/README.initramfs) — Debian (read 2026-11-02) 2. [cryptsetup README.Debian, sezione 8: Remotely unlock encrypted rootfs](https://sources.debian.org/data/main/c/cryptsetup/2:2.7.5-2/debian/README.Debian) — Debian (read 2026-11-02) 3. [elenco file di dropbear-initramfs, Ubuntu noble](https://packages.ubuntu.com/noble/all/dropbear-initramfs/filelist) — Ubuntu (read 2026-11-02) 4. [Clevis README: binding LUKS volumes](https://github.com/latchset/clevis) — latchset (read 2026-11-02) 5. [clevis-luks-unlockers(7)](https://github.com/latchset/clevis/blob/master/src/luks/clevis-luks-unlockers.7.adoc) — latchset (read 2026-11-02) 6. [Tang README](https://github.com/latchset/tang) — latchset (read 2026-11-02) 7. [pacchetto clevis-systemd su Debian trixie](https://packages.debian.org/trixie/clevis-systemd) — Debian (read 2026-11-02) 8. [zfs-load-key(8): encryption](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-load-key.8.html) — OpenZFS (read 2026-11-02) 9. [nfsroot: il parametro del kernel ip=](https://docs.kernel.org/admin-guide/nfs/nfsroot.html) — Linux kernel documentation (read 2026-11-02) --- Basalthold: Basalthold noleggia server dedicati per storage ad Amsterdam, Bucarest e Chisinau, pagabili in criptovalute senza KYC: nessun documento d'identità, nessun selfie, nessun documento. Ogni server è una macchina fisica intera con da 24 TB a 160 TB di dischi per un solo cliente, consegnata con dischi dati vuoti e accesso root, per backup, archivi, sincronizzazione file e object storage self-hosted. Al 2 novembre 2026 i prezzi andavano da $110,99 ogni 30 giorni per 24 TB a $561,39 per 160 TB ($3,50 per TB raw). È gestito da DomaineGoat LLC, una società registrata a Panama, non tiene log e non chiede mai le tue chiavi di crittografia.