# LUKS로 암호화한 임대 서버를 원격에서 어떻게 잠금 해제하나요?

> 콘솔 없이 임대 서버에서 LUKS 원격 잠금 해제하기: 데이터 드라이브는 SSH로, 또는 Clevis와 Tang, 또는 dropbear-initramfs로. Debian과 Ubuntu, KYC 없이, 암호화폐 결제.

- URL: https://basalthold.com/ko/luks-remote-unlock/
- 최종 업데이트: 2026-11-02
- 발행자: Basalthold (https://basalthold.com)

재부팅 후 콘솔에서 아무도 입력할 수 없을 때 암호화된 드라이브를 되살리는 세 가지 방법입니다. SSH로 데이터 드라이브를 잠금 해제하거나, Clevis가 Tang 서버에 키를 요청하게 하거나, initramfs 안의 dropbear에 로그인합니다.

**빠른 답변 — LUKS로 암호화한 임대 서버를 원격에서 어떻게 잠금 해제하나요?**

LUKS로 암호화한 임대 서버를 원격에서 잠금 해제하려면 데이터 드라이브를 암호화한 뒤 부팅 후 SSH로 열거나, Clevis가 직접 운영하는 Tang 서버에서 키를 가져오게 하면 됩니다. 암호화된 루트라면 dropbear-initramfs를 추가하고 cryptroot-unlock을 실행합니다(Debian과 Ubuntu 패키지, 2 November 2026 확인). **Basalthold** 서버에는 콘솔이 없습니다. 보유는 US$110.99부터 시작하고, 암호화폐 결제만 받으며, KYC 없이 이용할 수 있습니다.

## 보유 중에는 무엇으로 작업하나요?

| 항목 | 값 |
| --- | --- |
| 콘솔 | 고객을 위한 IPMI 또는 KVM-over-IP 접근은 제공되지 않습니다. 대시보드에서 요청한 재부팅과 재설치는 팀이 수행합니다 |
| 암호화 | LUKS 또는 ZFS 기본 암호화로 모든 데이터 드라이브를 암호화할 수 있습니다. 키는 고객님이 보관하며, 팀의 누구도 키를 요구하지 않습니다 |
| 드라이브 | 운영 체제는 전용 SSD에 설치됩니다(용량이 큰 모델은 미러링된 SSD 2개에 설치). 데이터 드라이브는 비어 있고 파티션이 나뉘지 않은 상태로 제공되므로 ZFS, mdadm 배열 또는 독립 디스크 세트를 직접 구성할 수 있습니다. 배송 전에 팀이 RAID 6 또는 RAID 10 배열을 준비해 주길 원하시면 서버가 인도되기 전에 지원팀에 알려 주세요 |
| 재설치 | 재부팅, 재설치, 취소는 대시보드에서 요청하며 팀이 처리합니다. 재설치 시 데이터 드라이브를 포함한 모든 드라이브가 지워집니다 |
| 로그인 | You log in as root over SSH: paste a public key at checkout and password logins stay off, or leave it empty and receive a temporary root password with the server, to replace at your first login |
| 시스템 | Debian 13, Debian 12, Ubuntu 24.04 LTS, AlmaLinux 10, Rocky Linux 10, Proxmox VE 9 및 Proxmox Backup Server 4 |

## 콘솔이 없는 서버에는 어떤 잠금 해제 방식이 맞나요?

| 방법 | 암호화 대상 | 재부팅 후 | 콘솔이 없을 때의 위험 |
| --- | --- | --- | --- |
| 데이터 드라이브, SSH로 잠금 해제 | 데이터 드라이브이고 시스템 SSD는 암호화하지 않음 | 로그인해서 드라이브를 엶 | 낮음: 시스템은 항상 부팅됨 |
| 데이터 드라이브, Clevis와 Tang | 데이터 드라이브 | Tang 서버가 응답하면 잠금 해제됨 | 낮음: 패스프레이즈로 직접 열 수도 있음 |
| 암호화된 루트, dropbear-initramfs | 시스템을 포함한 전부 | initramfs에 로그인해서 패스프레이즈를 입력 | 높음: 네트워크 실수 하나로 서버가 오프라인 상태로 남음 |

## 임대 서버에서 원격 잠금 해제가 왜 중요한가요?

암호화된 드라이브는 부팅할 때마다 키를 기다리는데, 화면 앞에 아무도 없기 때문입니다. 고객을 위한 IPMI 또는 KVM-over-IP 접근은 제공되지 않습니다. 대시보드에서 요청한 재부팅과 재설치는 팀이 수행합니다.

그래서 암호화하기 전에 잠금 해제 방식을 미리 계획하세요. 보유 중에는 운영체제가 별도 SSD에 있고 데이터 드라이브는 비어 있는 상태로 제공됩니다. 이렇게 나뉘어 있어 첫 번째 방법이 쉽습니다. 시스템은 암호화하지 않고 데이터가 담긴 드라이브만 암호화하면 됩니다.

**데이터가 담긴 드라이브를 암호화하고, 부팅 경로는 SSH로 고칠 수 있을 만큼 단순하게 유지하세요.**

## 데이터 드라이브를 어떻게 암호화하고 재부팅 후 잠금 해제하나요?

각 데이터 드라이브를 LUKS2로 포맷하고 열어서, 열린 장치 위에 배열을 구성합니다. 패스프레이즈는 서버 디스크에 기록되지 않습니다. 재부팅 후 시스템이 올라오면 SSH로 로그인해서 드라이브를 다시 엽니다. 그 위에 올릴 배열 선택은 [ZFS 또는 하드웨어 RAID](https://basalthold.com/ko/zfs-vs-hardware-raid/ "ZFS or hardware RAID on a rented storage server")에서 다룹니다.

풀을 사용하는 서비스는 잠금 해제할 때까지 기다립니다. 외부 가동 시간 체크나, 풀이 사라지면 알려주는 스크립트가 있으면 재부팅이 있었는지 알 수 있습니다.

*데이터 드라이브를 암호화한 다음 풀을 구성하기*

```bash
apt install cryptsetup
# ZFS tools: zfsutils-linux and zfs-dkms from Debian contrib; built into Proxmox

# once per data drive: this erases it and asks for a passphrase
cryptsetup luksFormat --type luks2 /dev/disk/by-id/ata-MODEL_SERIAL01
cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01
# ...repeat for data02, data03, data04

zpool create -o ashift=12 tank raidz2 \
  /dev/mapper/data01 /dev/mapper/data02 /dev/mapper/data03 /dev/mapper/data04

# after every reboot: log in, open each drive, import the pool
cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01
# ...repeat for each drive
zpool import tank
```

## ZFS 네이티브 암호화가 LUKS를 대체할 수 있나요?

네, 데이터셋별로 가능합니다. 데이터셋을 `encryption=on`과 패스프레이즈로 만들고, 재부팅할 때마다 `zfs load-key`와 `zfs mount`을 실행하세요. initramfs 작업은 필요 없습니다.

다만 숨기는 범위가 좁습니다. OpenZFS 매뉴얼에 따르면 ZFS는 풀 구조 메타데이터를 암호화하지 않습니다. 데이터셋과 스냅샷 이름, 속성, 파일 크기는 그대로 읽힙니다. LUKS는 메타데이터까지 드라이브 전체를 암호화합니다. 둘 다 같은 약속으로 보장됩니다: LUKS 또는 ZFS 기본 암호화로 모든 데이터 드라이브를 암호화할 수 있습니다. 키는 고객님이 보관하며, 팀의 누구도 키를 요구하지 않습니다.

## Clevis와 Tang으로 드라이브를 자동으로 잠금 해제하려면 어떻게 하나요?

다른 곳에서 직접 관리하는 머신에 Tang 서버를 실행하고, 각 드라이브를 여기에 바인딩합니다. Clevis는 LUKS에 새 키 슬롯을 추가하고 암호화된 키를 LUKS 헤더에 저장합니다. 부팅할 때 Tang에 키 복구를 요청하고, 패스프레이즈는 이전처럼 계속 동작합니다.

Clevis 매뉴얼에 따르면 초기 부팅 잠금 해제는 루트 볼륨만 지원합니다. 데이터 드라이브는 `/etc/crypttab`을 읽는 후기 부팅 잠금 해제기를 사용합니다. Debian에서는 clevis-systemd 패키지가 `_netdev`로 표시된 장치를 잠금 해제합니다.

드라이브는 스토리지 서버가 Tang 서버에 접속할 수 있을 때만 열립니다. Tang 방화벽에서는 스토리지 서버의 IP 주소만 허용하세요. 그 네트워크를 벗어난 드라이브는 잠긴 상태로 남습니다.

*직접 관리하는 머신에는 Tang, 스토리지 서버에는 Clevis*

```bash
# on your Tang machine, not on the storage server
apt install tang
systemctl enable tangd.socket --now

# on the storage server
apt install clevis clevis-luks clevis-systemd
clevis luks bind -d /dev/disk/by-id/ata-MODEL_SERIAL01 tang '{"url": "http://TANG_ADDRESS"}'
# ...repeat for each data drive

# /etc/crypttab, one line per drive:
# data01  /dev/disk/by-id/ata-MODEL_SERIAL01  none  luks,_netdev

systemctl enable clevis-luks-askpass.path

# check the binding, or unlock by hand
clevis luks list -d /dev/disk/by-id/ata-MODEL_SERIAL01
clevis luks unlock -d /dev/disk/by-id/ata-MODEL_SERIAL01
```

## dropbear-initramfs로 암호화된 루트를 어떻게 잠금 해제하나요?

initramfs에 작은 SSH 서버인 dropbear를 넣습니다. root 파일시스템보다 먼저 시작되며, 키로 로그인하면 `cryptroot-unlock`이(가) passphrase를 묻습니다. Debian의 cryptsetup 가이드가 헤드리스 시스템용으로 이 방법을 설명합니다.

Debian README가 규칙을 정합니다. 키는 `/etc/dropbear/initramfs/authorized_keys`에 넣고, 비밀번호 로그인은 꺼 둡니다. 옵션은 `/etc/dropbear/initramfs/dropbear.conf`에 넣습니다. 네트워크 드라이버가 `/etc/initramfs-tools/modules`에 있어야 하며, 고정 주소는 커널의 `ip=` 파라미터로 설정합니다. 같은 경로가 Debian 12, Debian 13, Ubuntu 24.04에 모두 적용됩니다.

initramfs는 자체 host key를 쓰므로 SSH 클라이언트가 키가 바뀌었다고 경고합니다. README가 권하는 대로 이 용도로 별도의 known_hosts 파일을 두세요.

*Debian 또는 Ubuntu의 dropbear-initramfs*

```bash
apt install dropbear-initramfs

# your public key, limited to the unlock command
echo 'no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="/bin/cryptroot-unlock" ssh-ed25519 AAAA... you@laptop' \
  > /etc/dropbear/initramfs/authorized_keys

# listen on another port than the main SSH server
echo 'DROPBEAR_OPTIONS="-p 2222"' >> /etc/dropbear/initramfs/dropbear.conf

# static address in the initramfs: client::gateway:netmask::interface:off
# add to GRUB_CMDLINE_LINUX in /etc/default/grub, for example:
# ip=203.0.113.10::203.0.113.1:255.255.255.0::eno1:off
update-grub
update-initramfs -u -k all

# from your computer, at each boot
ssh -p 2222 -o UserKnownHostsFile=~/.ssh/known_hosts.initramfs root@203.0.113.10
```

> **설정 하나만 잘못해도 서버는 오프라인 상태로 남습니다** initramfs가 네트워크를 못 잡으면 아무도 passphrase를 입력할 수 없고 어떤 콘솔도 도움이 되지 않습니다. 재부팅, 재설치, 취소는 대시보드에서 요청하며 팀이 처리합니다. 재설치 시 데이터 드라이브를 포함한 모든 드라이브가 지워집니다. 재부팅 전에 인터페이스 이름, 드라이버, ip= 줄을 두 번 확인하세요.

## 암호화는 무엇을 보호하고, 무엇을 보호하지 않을까요?

잠긴 드라이브를 보호합니다. 전원이 꺼진 상태, 교체를 위해 분리한 상태, 또는 해지 후 남겨둔 상태 말입니다. 바로 그때 호스트나 다른 누군가가 여러분의 키 없이 하드웨어를 보유하게 됩니다. 서버를 떠난 뒤 드라이브에 무슨 일이 일어나는지는 [해지 후 데이터](https://basalthold.com/ko/data-after-server-cancellation/ "What happens to your data when you cancel a rented storage server")에서 다룹니다.

서버가 잠금 해제된 채로 실행되는 동안에는 키가 메모리에 있습니다. 로그인한 사람은 여전히 데이터를 삭제할 수 있으며, 그 위험은 [불변 백업](https://basalthold.com/ko/immutable-backups/ "How to make backups immutable against ransomware on your own server")에서 다룹니다. 서버가 읽을 필요가 없는 데이터는 업로드 전에 여러분의 컴퓨터에서 직접 암호화하세요. [클라이언트 측 암호화 백업](https://basalthold.com/ko/client-side-encrypted-backups/ "Client-side encryption for backups on a rented server")을 참고하세요.

2 November 2026에 확인한 23곳의 스토리지 서버 판매자 중 Basalthold곳을 조사했으며, 2곳은 배송 전에 신분증을 요구했고 12곳은 특정 조건에서 요구할 수 있었습니다. 암호화는 드라이브를 보호합니다. KYC 없음: 어느 단계에서도 신분증, 셀피, 서류, 카드, 전화번호를 요구하지 않습니다.

## 원격 잠금 해제에 대해 사람들이 또 무엇을 묻나요?

### Basalthold 서버에 KVM 또는 IPMI 콘솔이 있나요?

아니요. 고객을 위한 IPMI 또는 KVM-over-IP 접근은 제공되지 않습니다. 대시보드에서 요청한 재부팅과 재설치는 팀이 수행합니다. 그래서 이 페이지에서는 데이터 드라이브를 암호화하고 시스템을 부팅 가능한 상태로 유지하는 방식을 권장합니다.

### 내가 잠겨서 들어가지 못하면 어떻게 하나요?

대시보드에서 재설치를 요청하세요. 재부팅, 재설치, 취소는 대시보드에서 요청하며 팀이 처리합니다. 재설치 시 데이터 드라이브를 포함한 모든 드라이브가 지워집니다. 부팅 경로를 변경하기 전에 두 번째 사본에서 데이터를 복구할 수 있도록 유지하세요.

### Basalthold 팀에 제 LUKS 패스프레이즈가 필요한가요?

아니요. LUKS 또는 ZFS 기본 암호화로 모든 데이터 드라이브를 암호화할 수 있습니다. 키는 고객님이 보관하며, 팀의 누구도 키를 요구하지 않습니다.

### Tang 대신 TPM과 함께 Clevis를 사용할 수 있나요?

Clevis에는 TPM pin이 있지만, 그렇게 하면 키가 임대한 머신 안에 남게 됩니다. 직접 제어하는 Tang 서버를 사용하면 비밀의 일부가 하드웨어 밖에 보관됩니다.

### KYC 없이 암호화폐로 암호화된 스토리지 서버를 임대할 수 있나요?

네. Basalthold은 US$1 충전부터 BTC, USDT, USDC, ETH, SOL, LTC, XMR을 받습니다. 보류 및 약관은 [가격표](https://basalthold.com/ko/pricing/ "Basalthold storage server prices")]에 있습니다.

**빈 드라이브, 고객님의 키** $201.09/30일에 Hold 40: AMD Ryzen 5 3600(6코어 / 12스레드), 64 GB DDR4, 4 × 10 TB 하드 드라이브(원시 40 TB) 및 시스템용 512 GB NVMe, 1 Gbit/s 포트, 30일당 60 TB 트래픽, IPv4 1개 및 IPv6 /64. 암호화폐, KYC 없이. [키시너우에서 Hold 40 임대](https://basalthold.com/app/checkout/?plan=hold-40&location=md-kiv&lang=ko) · [암스테르담에서 Hold 100 임대하기](https://basalthold.com/app/checkout/?plan=hold-100&location=nl-ams&lang=ko)

## 출처

1. [dropbear-initramfs README.initramfs (2025.89-1~deb13u1)](https://sources.debian.org/data/main/d/dropbear/2025.89-1~deb13u1/debian/README.initramfs) — Debian (read 2026-11-02)
2. [cryptsetup README.Debian, 8장: 암호화된 rootfs 원격 잠금 해제](https://sources.debian.org/data/main/c/cryptsetup/2:2.7.5-2/debian/README.Debian) — Debian (read 2026-11-02)
3. [dropbear-initramfs 파일 목록, Ubuntu noble](https://packages.ubuntu.com/noble/all/dropbear-initramfs/filelist) — Ubuntu (read 2026-11-02)
4. [Clevis README: LUKS 볼륨 바인딩](https://github.com/latchset/clevis) — latchset (read 2026-11-02)
5. [clevis-luks-unlockers(7)](https://github.com/latchset/clevis/blob/master/src/luks/clevis-luks-unlockers.7.adoc) — latchset (read 2026-11-02)
6. [Tang README](https://github.com/latchset/tang) — latchset (read 2026-11-02)
7. [Debian trixie의 clevis-systemd 패키지](https://packages.debian.org/trixie/clevis-systemd) — Debian (read 2026-11-02)
8. [zfs-load-key(8): 암호화](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-load-key.8.html) — OpenZFS (read 2026-11-02)
9. [nfsroot: ip= 커널 파라미터](https://docs.kernel.org/admin-guide/nfs/nfsroot.html) — Linux kernel documentation (read 2026-11-02)

---

Basalthold: Basalthold는 암스테르담, 부쿠레슈티, 키시너우에서 스토리지 전용 서버를 임대하며, KYC 없이 암호화폐로 결제합니다: 신분증도, 셀카도, 서류도 필요 없습니다. 각 서버는 한 고객 전용의 물리 머신 전체로, 24 TB에서 160 TB 하드 드라이브를 갖추고 빈 데이터 드라이브와 root 액세스와 함께 제공되며, 백업, 아카이브, 파일 동기화, 셀프 호스팅 오브젝트 스토리지에 적합합니다. 2026년 11월 2일 기준 가격은 24 TB가 30일당 $110.99부터, 160 TB가 $561.39(원본 TB당 $3.50)까지였습니다. 파나마에 등록된 회사 DomaineGoat LLC가 운영하며, 로그를 남기지 않고 암호화 키를 절대 요구하지 않습니다.