จะปลดล็อกเซิร์ฟเวอร์เช่าที่เข้ารหัส LUKS จากระยะไกลได้อย่างไร

ทำไมการปลดล็อกระยะไกลจึงสำคัญบนเซิร์ฟเวอร์เช่า

เพราะไดรฟ์ที่เข้ารหัสรอคีย์ทุกครั้งที่บูต และไม่มีใครอยู่ที่หน้าจอ ไม่มี IPMI หรือ KVM-over-IP สำหรับลูกค้า การรีบูตและการติดตั้งใหม่ที่คุณขอในแดชบอร์ดจะดำเนินการโดยทีม

ดังนั้นวางแผนการปลดล็อกก่อนเข้ารหัส ในการจอง ระบบปฏิบัติการอยู่บน SSD ของตัวเองและไดรฟ์ข้อมูลมาแบบว่าง การแยกนี้ทำให้วิธีแรกง่าย: เก็บระบบไว้ไม่เข้ารหัส เข้ารหัสเฉพาะไดรฟ์ที่เก็บข้อมูลของคุณ

เข้ารหัสไดรฟ์ที่เก็บข้อมูลของคุณ ทำให้เส้นทางการบูตเรียบง่ายพอที่จะแก้ไขผ่าน SSH ได้

จะเข้ารหัสไดรฟ์ข้อมูลและปลดล็อกหลังรีบูตได้อย่างไร

จัดรูปแบบไดรฟ์ข้อมูลแต่ละตัวเป็น LUKS2 เปิดใช้งาน แล้วสร้างอาร์เรย์บนอุปกรณ์ที่เปิดแล้ว วลีรหัสไม่เคยแตะดิสก์ของเซิร์ฟเวอร์ หลังรีบูต ระบบจะขึ้นมา คุณล็อกอินผ่าน SSH และเปิดไดรฟ์อีกครั้ง การเลือกอาร์เรย์นั้นอยู่ใน ZFS หรือฮาร์ดแวร์ RAID

บริการที่ใช้อาร์เรย์จะรอจนกว่าคุณจะทำ ขั้นตอนตรวจสอบ uptime จากภายนอก หรือสคริปต์ที่แจ้งเตือนเมื่ออาร์เรย์หายไป จะบอกคุณว่ามีการรีบูตเกิดขึ้น

apt install cryptsetup
# ZFS tools: zfsutils-linux and zfs-dkms from Debian contrib; built into Proxmox

# once per data drive: this erases it and asks for a passphrase
cryptsetup luksFormat --type luks2 /dev/disk/by-id/ata-MODEL_SERIAL01
cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01
# ...repeat for data02, data03, data04

zpool create -o ashift=12 tank raidz2 \
  /dev/mapper/data01 /dev/mapper/data02 /dev/mapper/data03 /dev/mapper/data04

# after every reboot: log in, open each drive, import the pool
cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01
# ...repeat for each drive
zpool import tank

การเข้ารหัสแบบ native ของ ZFS แทน LUKS ได้หรือไม่

ได้ ในระดับ dataset สร้าง dataset ด้วย encryption=on และวลีรหัส จากนั้นรัน zfs load-key และ zfs mount หลังรีบูตแต่ละครั้ง ไม่ต้องทำงานกับ initramfs

แต่ซ่อนได้น้อยกว่า คู่มือ OpenZFS ระบุว่า ZFS ไม่เข้ารหัส metadata โครงสร้างของพูล: ชื่อ dataset และ snapshot, พร็อพเพอร์ตี้ และขนาดไฟล์ยังอ่านได้ LUKS เข้ารหัสทั้งไดรฟ์รวมถึง metadata ทั้งสองแบบอยู่ภายใต้คำมั่นเดียวกัน: คุณเข้ารหัสทุกไดรฟ์ข้อมูลด้วย LUKS หรือการเข้ารหัสแบบเนทีฟของ ZFS ได้ กุญแจอยู่กับคุณ และไม่มีใครในทีมขอสิ่งเหล่านี้เลย

จะปลดล็อกไดรฟ์โดยอัตโนมัติด้วย Clevis และ Tang ได้อย่างไร

รันเซิร์ฟเวอร์ Tang บนเครื่องที่คุณควบคุมที่อื่น และผูกไดรฟ์แต่ละตัวเข้ากับมัน Clevis เพิ่มคีย์สล็อตใหม่ให้ LUKS และเก็บคีย์ที่เข้ารหัสไว้ใน LUKS header เมื่อบูตมันจะขอให้ Tang ช่วยกู้คีย์ วลีรหัสของคุณยังใช้ได้เหมือนเดิม

คู่มือ Clevis ระบุว่าการปลดล็อกช่วงต้นของการบูตครอบคลุมเฉพาะโวลุ่ม root ไดรฟ์ข้อมูลใช้ตัวปลดล็อกช่วงปลายของการบูต ซึ่งอ่าน /etc/crypttab บน Debian แพ็กเกจ clevis-systemd จะปลดล็อกอุปกรณ์ที่ทำเครื่องหมาย _netdev ไว้ที่นั่น

ไดรฟ์จะเปิดเฉพาะเมื่อเซิร์ฟเวอร์จัดเก็บข้อมูลเข้าถึงเซิร์ฟเวอร์ Tang ของคุณได้ อนุญาตเฉพาะ IP address ของเซิร์ฟเวอร์จัดเก็บข้อมูลผ่านไฟร์วอลล์ของ Tang ไดรฟ์ที่ออกจากเครือข่ายนั้นจะยังคงล็อกอยู่

# on your Tang machine, not on the storage server
apt install tang
systemctl enable tangd.socket --now

# on the storage server
apt install clevis clevis-luks clevis-systemd
clevis luks bind -d /dev/disk/by-id/ata-MODEL_SERIAL01 tang '{"url": "http://TANG_ADDRESS"}'
# ...repeat for each data drive

# /etc/crypttab, one line per drive:
# data01  /dev/disk/by-id/ata-MODEL_SERIAL01  none  luks,_netdev

systemctl enable clevis-luks-askpass.path

# check the binding, or unlock by hand
clevis luks list -d /dev/disk/by-id/ata-MODEL_SERIAL01
clevis luks unlock -d /dev/disk/by-id/ata-MODEL_SERIAL01

จะปลดล็อก root ที่เข้ารหัสด้วย dropbear-initramfs ได้อย่างไร

วาง SSH server ขนาดเล็กอย่าง dropbear ไว้ใน initramfs มันจะเริ่มทำงานก่อน root filesystem คุณล็อกอินด้วย key ของคุณ แล้ว cryptroot-unlock จะถามหา passphrase คู่มือ cryptsetup ของ Debian อธิบายเรื่องนี้ไว้สำหรับระบบ headless

README ของ Debian กำหนดกติกาไว้ key เก็บไว้ใน /etc/dropbear/initramfs/authorized_keys และปิดการล็อกอินด้วยรหัสผ่าน ส่วน options เก็บไว้ใน /etc/dropbear/initramfs/dropbear.conf network driver ต้องอยู่ใน /etc/initramfs-tools/modules และตั้ง static address ด้วยพารามิเตอร์ ip= ของ kernel เส้นทางเดียวกันนี้ใช้ได้บน Debian 12, Debian 13 และ Ubuntu 24.04

initramfs ใช้ host key ของตัวเอง SSH client ของคุณจึงเตือนว่า key เปลี่ยน ให้เก็บ known_hosts แยกไฟล์ไว้สำหรับมัน ตามที่ README แนะนำ

apt install dropbear-initramfs

# your public key, limited to the unlock command
echo 'no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="/bin/cryptroot-unlock" ssh-ed25519 AAAA... you@laptop' \
  > /etc/dropbear/initramfs/authorized_keys

# listen on another port than the main SSH server
echo 'DROPBEAR_OPTIONS="-p 2222"' >> /etc/dropbear/initramfs/dropbear.conf

# static address in the initramfs: client::gateway:netmask::interface:off
# add to GRUB_CMDLINE_LINUX in /etc/default/grub, for example:
# ip=203.0.113.10::203.0.113.1:255.255.255.0::eno1:off
update-grub
update-initramfs -u -k all

# from your computer, at each boot
ssh -p 2222 -o UserKnownHostsFile=~/.ssh/known_hosts.initramfs [email protected]

การเข้ารหัสปกป้องอะไร และไม่ปกป้องอะไร?

มันปกป้องไดรฟ์ที่ถูกล็อกไว้: ปิดเครื่อง ถอดออกไปเปลี่ยน หรือถูกทิ้งไว้หลังยกเลิก นั่นคือตอนที่โฮสต์หรือใครก็ตามถือฮาร์ดแวร์ไว้โดยไม่มี key ของคุณ สิ่งที่เกิดขึ้นกับไดรฟ์หลังจากคุณออกไปนั้นอยู่ใน ข้อมูลหลังการยกเลิก

ขณะที่เซิร์ฟเวอร์ทำงานแบบปลดล็อก key จะอยู่ในหน่วยความจำ คนที่ล็อกอินเข้ามาก็ยังลบข้อมูลได้ ความเสี่ยงนั้นครอบคลุมอยู่ใน immutable backups สำหรับข้อมูลที่เซิร์ฟเวอร์ไม่จำเป็นต้องอ่านเลย ให้เข้ารหัสบนเครื่องของคุณเองก่อนอัปโหลด ดู client-side encrypted backups

จากผู้ขาย storage server 23 รายที่ Basalthold ตรวจสอบเมื่อ 2 November 2026, 2 รายกำหนดให้ยืนยันตัวตนก่อนส่งมอบ และ 12 รายอาจขอได้ตามเงื่อนไขบางอย่าง การเข้ารหัสปกป้องไดรฟ์ ส่วน ไม่ต้อง KYC: ไม่ต้องใช้บัตรประชาชน ไม่ต้องเซลฟี่ ไม่ต้องใช้เอกสาร ไม่ต้องใช้บัตร และไม่ต้องใช้หมายเลขโทรศัพท์ ในทุกขั้นตอน