# Jak zdalnie odblokować zaszyfrowany LUKS-em wynajęty serwer? > Zdalne odblokowywanie LUKS na wynajętym serwerze bez konsoli: dyski przez SSH, Clevis i Tang lub dropbear-initramfs. Debian i Ubuntu; płatność kryptowalutą. - URL: https://basalthold.com/pl/luks-remote-unlock/ - Ostatnia aktualizacja: 2026-11-02 - Wydawca: Basalthold (https://basalthold.com) Trzy sposoby na przywrócenie zaszyfrowanych dysków po restarcie, gdy nikt nie może wpisać hasła przy konsoli. Odblokuj dyski danych przez SSH, pozwól Clevis zapytać serwer Tang albo zaloguj się do dropbear wewnątrz initramfs. **Szybka odpowiedź — Jak zdalnie odblokować zaszyfrowany LUKS-em wynajęty serwer?** Aby zdalnie odblokować zaszyfrowany LUKS-em wynajęty serwer, zaszyfruj dyski danych i otwórz je przez SSH po rozruchu albo pozwól Clevis pobrać klucz z Twojego własnego serwera Tang. Dla zaszyfrowanego roota dodaj dropbear-initramfs i uruchom cryptroot-unlock (pakiety Debiana i Ubuntu, sprawdzone 2 November 2026). Serwery **Basalthold** nie mają konsoli; dzierżawa startuje od 110,99 USD, tylko kryptowaluta, bez KYC. ## Na czym pracujesz na dzierżawie? | Atrybut | Wartość | | --- | --- | | Konsola | Klienci nie mają dostępu przez IPMI ani KVM-over-IP; restarty i reinstalacje, o które prosisz w panelu, wykonuje zespół | | Szyfrowanie | Możesz zaszyfrować każdy dysk danych za pomocą LUKS lub natywnego szyfrowania ZFS; klucze pozostają u Ciebie i nikt z zespołu nigdy o nie nie prosi | | Dyski | System operacyjny znajduje się na własnym SSD (dwa lustrzane SSD w większych pojemnościach); dyski danych są dostarczane puste i niepartycjonowane, więc możesz zbudować ZFS, macierz mdadm lub zestaw niezależnych dysków. Jeśli chcesz, aby zespół przygotował macierz RAID 6 lub RAID 10 przed dostawą, zgłoś to do supportu, zanim serwer zostanie przekazany | | Reinstalacje | Restarty, reinstalacje i anulowania są zgłaszane w panelu i obsługiwane przez zespół; reinstalacja czyści każdy dysk, w tym dyski danych | | Logowanie | You log in as root over SSH: paste a public key at checkout and password logins stay off, or leave it empty and receive a temporary root password with the server, to replace at your first login | | Systemy | Debian 13, Debian 12, Ubuntu 24.04 LTS, AlmaLinux 10, Rocky Linux 10, Proxmox VE 9 i Proxmox Backup Server 4 | ## Która metoda odblokowywania pasuje do serwera bez konsoli? | Metoda | Co jest zaszyfrowane | Po restarcie | Ryzyko bez konsoli | | --- | --- | --- | --- | | Dyski danych, odblokowywane przez SSH | Dyski danych; systemowy SSD pozostaje jawny | Logujesz się i otwierasz dyski | Niskie: system zawsze się uruchamia | | Dyski danych, Clevis i Tang | Dyski danych | Odblokowywane, gdy Twój serwer Tang odpowie | Niskie: hasło nadal działa ręcznie | | Zaszyfrowany root, dropbear-initramfs | Wszystko, łącznie z systemem | Logujesz się do initramfs i wpisujesz hasło | Wysokie: błąd w sieci utrzymuje serwer offline | ## Dlaczego zdalne odblokowywanie ma znaczenie na wynajętym serwerze? Bo zaszyfrowany dysk czeka na swój klucz przy każdym rozruchu, a przy ekranie nikogo nie ma. Klienci nie mają dostępu przez IPMI ani KVM-over-IP; restarty i reinstalacje, o które prosisz w panelu, wykonuje zespół. Zaplanuj więc odblokowywanie, zanim zaszyfrujesz. Na dzierżawie system operacyjny leży na własnym SSD, a dyski danych przychodzą puste. Ten podział ułatwia pierwszą metodę: zostaw system jawny, zaszyfruj dyski, na których trzymasz dane. **Zaszyfruj dyski, na których trzymasz dane; utrzymuj ścieżkę rozruchu na tyle prostą, by naprawić ją przez SSH.** ## Jak zaszyfrować dyski danych i odblokować je po restarcie? Sformatuj każdy dysk danych jako LUKS2, otwórz go i zbuduj macierz na otwartych urządzeniach. Hasło nigdy nie trafia na dysk serwera. Po restarcie system wstaje, logujesz się przez SSH i ponownie otwierasz dyski. Wybór macierzy na wierzchu opisano w [ZFS lub sprzętowy RAID](https://basalthold.com/pl/zfs-vs-hardware-raid/ "ZFS or hardware RAID on a rented storage server"). Usługi, które korzystają z puli, czekają, aż to zrobisz. Zewnętrzny monitoring dostępności albo skrypt, który alarmuje przy braku puli, powie Ci, że nastąpił restart. *Zaszyfruj dyski danych, a potem zbuduj na nich pulę* ```bash apt install cryptsetup # ZFS tools: zfsutils-linux and zfs-dkms from Debian contrib; built into Proxmox # once per data drive: this erases it and asks for a passphrase cryptsetup luksFormat --type luks2 /dev/disk/by-id/ata-MODEL_SERIAL01 cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01 # ...repeat for data02, data03, data04 zpool create -o ashift=12 tank raidz2 \ /dev/mapper/data01 /dev/mapper/data02 /dev/mapper/data03 /dev/mapper/data04 # after every reboot: log in, open each drive, import the pool cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01 # ...repeat for each drive zpool import tank ``` ## Czy natywne szyfrowanie ZFS może zastąpić LUKS? Tak, dla każdego zbioru danych osobno. Utwórz zbiór danych z `encryption=on` i hasłem, a potem uruchamiaj `zfs load-key` i `zfs mount` po każdym restarcie. Praca z initramfs nie jest potrzebna. Ukrywa jednak mniej. Podręcznik OpenZFS mówi, że ZFS nie szyfruje metadanych struktury puli: nazwy zbiorów danych i snapshotów, właściwości i rozmiary plików pozostają czytelne. LUKS szyfruje cały dysk, łącznie z metadanymi. Oba objęte są tą samą obietnicą: Możesz zaszyfrować każdy dysk danych za pomocą LUKS lub natywnego szyfrowania ZFS; klucze pozostają u Ciebie i nikt z zespołu nigdy o nie nie prosi. ## Jak automatycznie odblokować dyski za pomocą Clevis i Tang? Uruchom serwer Tang na maszynie, którą kontrolujesz gdzie indziej, i powiąż z nim każdy dysk. Clevis dodaje nowy slot klucza do LUKS i zapisuje zaszyfrowany klucz w nagłówku LUKS. Przy rozruchu prosi Tang o pomoc w odzyskaniu klucza; Twoje hasło nadal działa jak wcześniej. Podręcznik Clevis mówi, że odblokowywanie we wczesnej fazie rozruchu obejmuje tylko wolumen root. Dyski danych korzystają z odblokowywania w późnej fazie rozruchu, które odczytuje `/etc/crypttab`. W Debianie pakiet clevis-systemd odblokowuje tam urządzenia oznaczone `_netdev`. Dyski otwierają się tylko wtedy, gdy serwer storage może połączyć się z Twoim serwerem Tang. Przepuść przez firewall Tanga wyłącznie adres IP serwera storage. Dyski, które opuszczą tę sieć, pozostają zablokowane. *Tang na Twojej własnej maszynie, Clevis na serwerze storage* ```bash # on your Tang machine, not on the storage server apt install tang systemctl enable tangd.socket --now # on the storage server apt install clevis clevis-luks clevis-systemd clevis luks bind -d /dev/disk/by-id/ata-MODEL_SERIAL01 tang '{"url": "http://TANG_ADDRESS"}' # ...repeat for each data drive # /etc/crypttab, one line per drive: # data01 /dev/disk/by-id/ata-MODEL_SERIAL01 none luks,_netdev systemctl enable clevis-luks-askpass.path # check the binding, or unlock by hand clevis luks list -d /dev/disk/by-id/ata-MODEL_SERIAL01 clevis luks unlock -d /dev/disk/by-id/ata-MODEL_SERIAL01 ``` ## Jak odblokować zaszyfrowany root za pomocą dropbear-initramfs? Umieść mały serwer SSH, dropbear, w initramfs. Uruchamia się przed systemem plików root, logujesz się swoim kluczem, a `cryptroot-unlock` prosi o passphrase. Przewodnik Debian cryptsetup opisuje to dla systemów headless. README Debiana ustala zasady. Klucze trafiają do `/etc/dropbear/initramfs/authorized_keys`, a logowanie hasłem jest wyłączone. Opcje trafiają do `/etc/dropbear/initramfs/dropbear.conf`. Sterownik sieci musi być w `/etc/initramfs-tools/modules`, a statyczny adres ustawia się parametrem jądra `ip=`. Te same ścieżki obowiązują w Debian 12, Debian 13 i Ubuntu 24.04. initramfs używa własnych kluczy hosta, więc Twój klient SSH ostrzeże o zmienionym kluczu. Prowadź dla niego osobny plik known_hosts, jak sugeruje README. *dropbear-initramfs na Debian lub Ubuntu* ```bash apt install dropbear-initramfs # your public key, limited to the unlock command echo 'no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="/bin/cryptroot-unlock" ssh-ed25519 AAAA... you@laptop' \ > /etc/dropbear/initramfs/authorized_keys # listen on another port than the main SSH server echo 'DROPBEAR_OPTIONS="-p 2222"' >> /etc/dropbear/initramfs/dropbear.conf # static address in the initramfs: client::gateway:netmask::interface:off # add to GRUB_CMDLINE_LINUX in /etc/default/grub, for example: # ip=203.0.113.10::203.0.113.1:255.255.255.0::eno1:off update-grub update-initramfs -u -k all # from your computer, at each boot ssh -p 2222 -o UserKnownHostsFile=~/.ssh/known_hosts.initramfs root@203.0.113.10 ``` > **Jedno błędne ustawienie trzyma serwer offline** Jeśli initramfs nie dostanie sieci, nikt nie wpisze passphrase i żadna konsola nie pomoże. Restarty, reinstalacje i anulowania są zgłaszane w panelu i obsługiwane przez zespół; reinstalacja czyści każdy dysk, w tym dyski danych. Sprawdź nazwę interfejsu, sterownik i linię ip= dwa razy, zanim zrestartujesz. ## Co chroni szyfrowanie, a czego nie? Chroni dyski, które są zablokowane: wyłączone, wyjęte do wymiany albo pozostawione po anulowaniu. Wtedy host lub ktokolwiek inny ma sprzęt bez Twojego klucza. Co dzieje się z dyskami po Twoim odejściu, opisano na [dane po anulowaniu](https://basalthold.com/pl/data-after-server-cancellation/ "What happens to your data when you cancel a rented storage server"). Gdy serwer działa odblokowany, klucz siedzi w pamięci. Ktoś, kto się zaloguje, nadal może usunąć dane; to ryzyko opisano na [niezmienne kopie zapasowe](https://basalthold.com/pl/immutable-backups/ "How to make backups immutable against ransomware on your own server"). Dane, których serwer nigdy nie musi czytać, zaszyfruj na własnej maszynie przed wysłaniem; patrz [kopie zapasowe szyfrowane po stronie klienta](https://basalthold.com/pl/client-side-encrypted-backups/ "Client-side encryption for backups on a rented server"). Ze 23 sprzedawców serwerów storage Basalthold sprawdzonych na 2 November 2026, 2 wymagało dokumentu tożsamości przed dostawą, a 12 mogło o niego poprosić przy pewnych przesłankach. Szyfrowanie chroni dyski; Bez KYC: żadnego dowodu, żadnego selfie, żadnych dokumentów, żadnej karty i żadnego numeru telefonu, na żadnym etapie. ## O co jeszcze ludzie pytają przy zdalnym odblokowaniu? ### Czy na serwerach Basalthold jest konsola KVM lub IPMI? Nie. Klienci nie mają dostępu przez IPMI ani KVM-over-IP; restarty i reinstalacje, o które prosisz w panelu, wykonuje zespół. Dlatego ta strona stawia na szyfrowanie dysków z danymi i utrzymanie systemu w stanie bootowalnym. ### Co, jeśli się zablokuję? Zamów reinstalację w panelu. Restarty, reinstalacje i anulowania są zgłaszane w panelu i obsługiwane przez zespół; reinstalacja czyści każdy dysk, w tym dyski danych. Zadbaj, by Twoje dane były odzyskiwalne z drugiej kopii, zanim zmienisz ścieżkę bootowania. ### Czy zespół Basalthold potrzebuje mojej passphrase LUKS? Nie. Możesz zaszyfrować każdy dysk danych za pomocą LUKS lub natywnego szyfrowania ZFS; klucze pozostają u Ciebie i nikt z zespołu nigdy o nie nie prosi. ### Czy mogę użyć Clevis z TPM zamiast Tang? Clevis ma pin TPM, ale klucz zostałby wtedy wewnątrz wynajętej maszyny. Serwer Tang, który kontrolujesz, trzyma część sekretu z dala od sprzętu. ### Czy mogę wynająć zaszyfrowany serwer storage za kryptowalutę i bez KYC? Tak. Basalthold przyjmuje BTC, USDT, USDC, ETH, SOL, LTC, XMR, od doładowania 1 USD. Blokady i warunki są w [cenniku](https://basalthold.com/pl/pricing/ "Basalthold storage server prices"). **Puste dyski, Twoje klucze** Hold 40: AMD Ryzen 5 3600 (6 rdzeni / 12 wątków), 64 GB DDR4, 4 × 10 TB dysków twardych (40 TB raw) plus 512 GB NVMe na system, port 1 Gbit/s z 60 TB ruchu na 30 dni, 1 IPv4 i IPv6 /64, za $201.09/30 dni. Kryptowaluta, bez KYC. [Wynajmij Hold 40 w Kiszyniowie](https://basalthold.com/app/checkout/?plan=hold-40&location=md-kiv&lang=pl) · [Wynajmij Hold 100 w Amsterdamie](https://basalthold.com/app/checkout/?plan=hold-100&location=nl-ams&lang=pl) ## Źródła 1. [dropbear-initramfs README.initramfs (2025.89-1~deb13u1)](https://sources.debian.org/data/main/d/dropbear/2025.89-1~deb13u1/debian/README.initramfs) — Debian (read 2026-11-02) 2. [cryptsetup README.Debian, sekcja 8: Remotely unlock encrypted rootfs](https://sources.debian.org/data/main/c/cryptsetup/2:2.7.5-2/debian/README.Debian) — Debian (read 2026-11-02) 3. [lista plików dropbear-initramfs, Ubuntu noble](https://packages.ubuntu.com/noble/all/dropbear-initramfs/filelist) — Ubuntu (read 2026-11-02) 4. [Clevis README: binding LUKS volumes](https://github.com/latchset/clevis) — latchset (read 2026-11-02) 5. [clevis-luks-unlockers(7)](https://github.com/latchset/clevis/blob/master/src/luks/clevis-luks-unlockers.7.adoc) — latchset (read 2026-11-02) 6. [Tang README](https://github.com/latchset/tang) — latchset (read 2026-11-02) 7. [Pakiet clevis-systemd w Debian trixie](https://packages.debian.org/trixie/clevis-systemd) — Debian (read 2026-11-02) 8. [zfs-load-key(8): encryption](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-load-key.8.html) — OpenZFS (read 2026-11-02) 9. [nfsroot: parametr jądra ip=](https://docs.kernel.org/admin-guide/nfs/nfsroot.html) — Linux kernel documentation (read 2026-11-02) --- Basalthold: Basalthold wynajmuje dedykowane serwery storage w Amsterdamie, Bukareszcie i Kiszyniowie, płatne kryptowalutą bez KYC: bez dowodu, bez selfie, bez dokumentów. Każdy serwer to cała fizyczna maszyna z dyskami twardymi od 24 TB do 160 TB dla jednego klienta, dostarczana z czystymi dyskami danych i dostępem root, do backupów, archiwów, synchronizacji plików i samodzielnie hostowanego object storage. Na dzień 2 listopada 2026 ceny wynosiły od $110.99 za 30 dni za 24 TB do $561.39 za 160 TB ($3.50 za surowy TB). Usługę prowadzi DomaineGoat LLC, firma zarejestrowana w Panamie, nie prowadzi logów i nigdy nie prosi o Twoje klucze szyfrowania.