# Hoe ontgrendel ik een LUKS-versleutelde gehuurde server op afstand? > LUKS remote unlock op gehuurde server: datadrives via SSH, Clevis en Tang, of dropbear-initramfs. Debian en Ubuntu; zonder KYC, betalen met crypto. - URL: https://basalthold.com/nl/luks-remote-unlock/ - Laatst bijgewerkt: 2026-11-02 - Uitgever: Basalthold (https://basalthold.com) Drie manieren om versleutelde drives na een reboot terug te brengen wanneer niemand op de console kan typen. Ontgrendel de datadrives via SSH, laat Clevis een Tang-server vragen, of log in op dropbear binnen de initramfs. **Snel antwoord — Hoe ontgrendel ik een LUKS-versleutelde gehuurde server op afstand?** Om een LUKS-versleutelde gehuurde server op afstand te ontgrendelen, versleutel je de datadrives en open je ze na het opstarten via SSH, of laat je Clevis de sleutel ophalen van je eigen Tang-server. Voor een versleutelde root voeg je dropbear-initramfs toe en voer je cryptroot-unlock uit (Debian- en Ubuntu-pakketten, gecontroleerd 2 November 2026). **Basalthold**-servers hebben geen console; holds beginnen bij US$ 110,99, alleen betalen met crypto, zonder KYC. ## Waar werk je mee op een hold? | Eigenschap | Waarde | | --- | --- | | Console | Er is geen IPMI- of KVM-over-IP-toegang voor klanten; reboots en herinstallaties die je in het dashboard aanvraagt, worden door het team uitgevoerd | | Versleuteling | Je kunt elke dataschijf versleutelen met LUKS of native ZFS-encryptie; de sleutels blijven bij jou en niemand in het team vraagt er ooit naar | | Schijven | Het besturingssysteem staat op een eigen SSD (twee gespiegelde SSD's bij de grotere configuraties); de dataschijven worden leeg en ongepartitioneerd geleverd, zodat je ZFS, een mdadm-array of een set losse schijven kunt bouwen. Wil je dat het team een RAID 6- of RAID 10-array voorbereidt vóór de levering, meld dat dan bij support voordat de server wordt overgedragen | | Herinstallaties | Reboots, herinstallaties en opzeggingen vraag je aan in het dashboard en worden door het team afgehandeld; een herinstallatie wist elke schijf, dataschijven inbegrepen | | Inloggen | You log in as root over SSH: paste a public key at checkout and password logins stay off, or leave it empty and receive a temporary root password with the server, to replace at your first login | | Systemen | Debian 13, Debian 12, Ubuntu 24.04 LTS, AlmaLinux 10, Rocky Linux 10, Proxmox VE 9 en Proxmox Backup Server 4 | ## Welke ontgrendelmethode past bij een server zonder console? | Methode | Wat is versleuteld | Na een reboot | Risico zonder console | | --- | --- | --- | --- | | Datadrives, ontgrendeld via SSH | De datadrives; de systeem-SSD blijft onversleuteld | Je logt in en opent de drives | Laag: het systeem start altijd op | | Datadrives, Clevis en Tang | De datadrives | Ontgrendeld wanneer je Tang-server antwoordt | Laag: de passphrase werkt nog steeds handmatig | | Versleutelde root, dropbear-initramfs | Alles, inclusief het systeem | Je logt in op de initramfs en typt de passphrase | Hoog: een netwerkfout houdt de server offline | ## Waarom is remote unlock belangrijk op een gehuurde server? Omdat een versleutelde drive bij elke boot op zijn sleutel wacht, en niemand achter het scherm zit. Er is geen IPMI- of KVM-over-IP-toegang voor klanten; reboots en herinstallaties die je in het dashboard aanvraagt, worden door het team uitgevoerd. Plan de ontgrendeling dus voordat je versleutelt. Op een hold staat het besturingssysteem op een eigen SSD en komen de datadrives leeg. Die splitsing maakt de eerste methode eenvoudig: houd het systeem onversleuteld, versleutel de drives die je data bevatten. **Versleutel de drives die je data bevatten; houd het opstartpad simpel genoeg om via SSH te herstellen.** ## Hoe versleutel ik de datadrives en ontgrendel ik ze na een reboot? Formatteer elke datadrive als LUKS2, open hem en bouw de array op de geopende devices. De passphrase komt nooit op de schijf van de server terecht. Na een reboot komt het systeem op, log je in via SSH en open je de drives opnieuw. De array-keuze daarboven staat in [ZFS of hardware-RAID](https://basalthold.com/nl/zfs-vs-hardware-raid/ "ZFS or hardware RAID on a rented storage server"). Diensten die de pool gebruiken wachten tot je dat doet. Een externe uptime-check, of een script dat alarm slaat wanneer de pool ontbreekt, vertelt je dat er een reboot is geweest. *Versleutel de datadrives en bouw daarna de pool erop* ```bash apt install cryptsetup # ZFS tools: zfsutils-linux and zfs-dkms from Debian contrib; built into Proxmox # once per data drive: this erases it and asks for a passphrase cryptsetup luksFormat --type luks2 /dev/disk/by-id/ata-MODEL_SERIAL01 cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01 # ...repeat for data02, data03, data04 zpool create -o ashift=12 tank raidz2 \ /dev/mapper/data01 /dev/mapper/data02 /dev/mapper/data03 /dev/mapper/data04 # after every reboot: log in, open each drive, import the pool cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01 # ...repeat for each drive zpool import tank ``` ## Kan ZFS native encryption LUKS vervangen? Ja, per dataset. Maak de dataset aan met `encryption=on` en een passphrase, en voer na elke reboot `zfs load-key` en `zfs mount` uit. Er is geen initramfs-werk nodig. Het verbergt wel minder. De OpenZFS-handleiding zegt dat ZFS metadata over de poolstructuur niet versleutelt: namen van datasets en snapshots, properties en bestandsgroottes blijven leesbaar. LUKS versleutelt de hele drive, metadata inbegrepen. Beide vallen onder dezelfde belofte: Je kunt elke dataschijf versleutelen met LUKS of native ZFS-encryptie; de sleutels blijven bij jou en niemand in het team vraagt er ooit naar. ## Hoe ontgrendel ik de drives automatisch met Clevis en Tang? Draai een Tang-server op een machine die je elders beheert, en bind elke drive eraan. Clevis voegt een nieuwe keyslot toe aan LUKS en bewaart de versleutelde sleutel in de LUKS-header. Bij het opstarten vraagt hij Tang om de sleutel te helpen herstellen; je passphrase blijft gewoon werken. De Clevis-handleiding zegt dat ontgrendelen tijdens early boot alleen het root-volume dekt. Datadrives gebruiken de late-boot-unlocker, die `/etc/crypttab` leest. Op Debian ontgrendelt het pakket clevis-systemd daar devices die gemarkeerd zijn met `_netdev`. De drives openen alleen zolang de opslagserver je Tang-server kan bereiken. Sta alleen het IP-adres van de opslagserver door in de firewall van Tang. Drives die dat netwerk verlaten, blijven vergrendeld. *Tang op je eigen machine, Clevis op de opslagserver* ```bash # on your Tang machine, not on the storage server apt install tang systemctl enable tangd.socket --now # on the storage server apt install clevis clevis-luks clevis-systemd clevis luks bind -d /dev/disk/by-id/ata-MODEL_SERIAL01 tang '{"url": "http://TANG_ADDRESS"}' # ...repeat for each data drive # /etc/crypttab, one line per drive: # data01 /dev/disk/by-id/ata-MODEL_SERIAL01 none luks,_netdev systemctl enable clevis-luks-askpass.path # check the binding, or unlock by hand clevis luks list -d /dev/disk/by-id/ata-MODEL_SERIAL01 clevis luks unlock -d /dev/disk/by-id/ata-MODEL_SERIAL01 ``` ## Hoe ontgrendel ik een versleutelde root met dropbear-initramfs? Plaats een kleine SSH-server, dropbear, in de initramfs. Die start voordat het root-bestandssysteem er is, je logt in met je sleutel en `cryptroot-unlock` vraagt om de passphrase. De cryptsetup-gids van Debian beschrijft dit voor headless systemen. De README van Debian stelt de regels. Sleutels gaan in `/etc/dropbear/initramfs/authorized_keys` en aanmelden met een wachtwoord staat uit. Opties gaan in `/etc/dropbear/initramfs/dropbear.conf`. De netwerkdriver moet in `/etc/initramfs-tools/modules` staan en een statisch adres stel je in met de kernelparameter `ip=`. Dezelfde paden gelden op Debian 12, Debian 13 en Ubuntu 24.04. De initramfs gebruikt eigen host keys, dus je SSH-client waarschuwt dat de sleutel is veranderd. Houd daarvoor een apart known_hosts-bestand bij, zoals de README aanraadt. *dropbear-initramfs op Debian of Ubuntu* ```bash apt install dropbear-initramfs # your public key, limited to the unlock command echo 'no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="/bin/cryptroot-unlock" ssh-ed25519 AAAA... you@laptop' \ > /etc/dropbear/initramfs/authorized_keys # listen on another port than the main SSH server echo 'DROPBEAR_OPTIONS="-p 2222"' >> /etc/dropbear/initramfs/dropbear.conf # static address in the initramfs: client::gateway:netmask::interface:off # add to GRUB_CMDLINE_LINUX in /etc/default/grub, for example: # ip=203.0.113.10::203.0.113.1:255.255.255.0::eno1:off update-grub update-initramfs -u -k all # from your computer, at each boot ssh -p 2222 -o UserKnownHostsFile=~/.ssh/known_hosts.initramfs root@203.0.113.10 ``` > **Eén verkeerde instelling houdt de server offline** Krijgt de initramfs geen netwerk, dan kan niemand de passphrase typen en helpt geen enkele console. Reboots, herinstallaties en opzeggingen vraag je aan in het dashboard en worden door het team afgehandeld; een herinstallatie wist elke schijf, dataschijven inbegrepen. Controleer de interfacenaam, de driver en de regel ip= twee keer voordat je opnieuw opstart. ## Waartegen beschermt encryptie wel, en waartegen niet? Het beschermt schijven die op slot zijn: uitgeschakeld, eruit gehaald voor vervanging of achtergelaten na een opzegging. Dan heeft de host of wie dan ook de hardware zonder jouw sleutel. Wat er met schijven gebeurt nadat je weggaat, staat op [data na opzegging](https://basalthold.com/nl/data-after-server-cancellation/ "What happens to your data when you cancel a rented storage server"). Zolang de server ontgrendeld draait, staat de sleutel in het geheugen. Iemand die inlogt kan nog steeds data verwijderen; dat risico staat op [immutable backups](https://basalthold.com/nl/immutable-backups/ "How to make backups immutable against ransomware on your own server"). Voor data die de server nooit hoeft te lezen, versleutel je op je eigen machine voordat je uploadt; zie [client-side versleutelde backups](https://basalthold.com/nl/client-side-encrypted-backups/ "Client-side encryption for backups on a rented server"). Van 23 verkopers van storage-servers die Basalthold op 2 November 2026 controleerde, vroegen 2 een ID vóór levering en 12 konden erom vragen bij bepaalde triggers. Encryptie beschermt de schijven; Geen KYC: geen ID, geen selfie, geen documenten, geen kaart en geen telefoonnummer, op geen enkel moment. ## Waar vragen mensen nog meer naar bij remote unlock? ### Is er een KVM- of IPMI-console op Basalthold servers? Nee. Er is geen IPMI- of KVM-over-IP-toegang voor klanten; reboots en herinstallaties die je in het dashboard aanvraagt, worden door het team uitgevoerd. Daarom kiest deze pagina ervoor om de dataschijven te versleutelen en het systeem opstartbaar te houden. ### Wat als ik mezelf buitensluit? Vraag een herinstallatie aan in het dashboard. Reboots, herinstallaties en opzeggingen vraag je aan in het dashboard en worden door het team afgehandeld; een herinstallatie wist elke schijf, dataschijven inbegrepen. Zorg dat je data herstelbaar is uit een tweede kopie voordat je het opstartpad wijzigt. ### Heeft het Basalthold-team mijn LUKS-passphrase nodig? Nee. Je kunt elke dataschijf versleutelen met LUKS of native ZFS-encryptie; de sleutels blijven bij jou en niemand in het team vraagt er ooit naar. ### Kan ik Clevis met een TPM gebruiken in plaats van Tang? Clevis heeft een TPM-pin, maar dan blijft de sleutel in de gehuurde machine staan. Een Tang-server die je zelf beheert, houdt een deel van het geheim buiten de hardware. ### Kan ik een versleutelde storage-server huren met crypto en zonder KYC? Ja. Basalthold accepteert BTC, USDT, USDC, ETH, SOL, LTC, XMR, vanaf een opwaardering van US$ 1. Voorwaarden en termijnen staan op [de prijslijst](https://basalthold.com/nl/pricing/ "Basalthold storage server prices"). **Lege schijven, jouw sleutels** Hold 40: AMD Ryzen 5 3600 (6 cores / 12 threads), 64 GB DDR4, 4 × 10 TB harde schijven (40 TB raw) plus 512 GB NVMe voor het systeem, 1 Gbit/s-poort met 60 TB verkeer per 30 dagen, 1 IPv4 en een IPv6 /64, voor $201.09/30 dagen. Crypto, zonder KYC. [Huur Hold 40 in Chisinau](https://basalthold.com/app/checkout/?plan=hold-40&location=md-kiv&lang=nl) · [Huur Hold 100 in Amsterdam](https://basalthold.com/app/checkout/?plan=hold-100&location=nl-ams&lang=nl) ## Bronnen 1. [dropbear-initramfs README.initramfs (2025.89-1~deb13u1)](https://sources.debian.org/data/main/d/dropbear/2025.89-1~deb13u1/debian/README.initramfs) — Debian (read 2026-11-02) 2. [cryptsetup README.Debian, sectie 8: Remotely unlock encrypted rootfs](https://sources.debian.org/data/main/c/cryptsetup/2:2.7.5-2/debian/README.Debian) — Debian (read 2026-11-02) 3. [dropbear-initramfs bestandslijst, Ubuntu noble](https://packages.ubuntu.com/noble/all/dropbear-initramfs/filelist) — Ubuntu (read 2026-11-02) 4. [Clevis README: LUKS-volumes binden](https://github.com/latchset/clevis) — latchset (read 2026-11-02) 5. [clevis-luks-unlockers(7)](https://github.com/latchset/clevis/blob/master/src/luks/clevis-luks-unlockers.7.adoc) — latchset (read 2026-11-02) 6. [Tang README](https://github.com/latchset/tang) — latchset (read 2026-11-02) 7. [Pakket clevis-systemd in Debian trixie](https://packages.debian.org/trixie/clevis-systemd) — Debian (read 2026-11-02) 8. [zfs-load-key(8): encryptie](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-load-key.8.html) — OpenZFS (read 2026-11-02) 9. [nfsroot: de kernelparameter ip=](https://docs.kernel.org/admin-guide/nfs/nfsroot.html) — Linux kernel documentation (read 2026-11-02) --- Basalthold: Basalthold verhuurt storage dedicated servers in Amsterdam, Boekarest en Chisinau, betaald met crypto zonder KYC: geen ID, geen selfie, geen documenten. Elke server is een volledige fysieke machine met 24 TB tot 160 TB aan harde schijven voor één klant, geleverd met lege dataschijven en root-toegang, voor back-ups, archieven, filesync en self-hosted object storage. Op 2 november 2026 liepen de prijzen van $110.99 per 30 dagen voor 24 TB tot $561.39 voor 160 TB ($3.50 per ruwe TB). Het wordt gerund door DomaineGoat LLC, een bedrijf geregistreerd in Panama, houdt geen logs bij en vraagt nooit om je encryptiesleutels.