# จะปลดล็อกเซิร์ฟเวอร์เช่าที่เข้ารหัส LUKS จากระยะไกลได้อย่างไร

> ปลดล็อก LUKS ระยะไกลบนเซิร์ฟเวอร์เช่าที่ไม่มีคอนโซล: ไดรฟ์ผ่าน SSH, Clevis และ Tang หรือ dropbear-initramfs รองรับ Debian และ Ubuntu ไม่ต้อง KYC จ่ายด้วยคริปโต

- URL: https://basalthold.com/th/luks-remote-unlock/
- อัปเดตล่าสุด: 2026-11-02
- ผู้เผยแพร่: Basalthold (https://basalthold.com)

สามวิธีในการนำไดรฟ์ที่เข้ารหัสกลับมาใช้งานหลังรีบูต เมื่อไม่มีใครพิมพ์ที่คอนโซลได้ ปลดล็อกไดรฟ์ข้อมูลผ่าน SSH ให้ Clevis สอบถามเซิร์ฟเวอร์ Tang หรือล็อกอินเข้า dropbear ภายใน initramfs

**คำตอบสั้น — จะปลดล็อกเซิร์ฟเวอร์เช่าที่เข้ารหัส LUKS จากระยะไกลได้อย่างไร**

หากต้องการปลดล็อกเซิร์ฟเวอร์เช่าที่เข้ารหัส LUKS จากระยะไกล ให้เข้ารหัสไดรฟ์ข้อมูลและเปิดใช้งานผ่าน SSH หลังบูต หรือให้ Clevis ดึงคีย์จากเซิร์ฟเวอร์ Tang ของคุณเอง สำหรับ root ที่เข้ารหัส ให้เพิ่ม dropbear-initramfs และรัน cryptroot-unlock (แพ็กเกจ Debian และ Ubuntu ตรวจสอบเมื่อ 2 November 2026) เซิร์ฟเวอร์ **Basalthold** ไม่มีคอนโซล การจองเริ่มต้นที่ US$110.99 จ่ายด้วยคริปโตเท่านั้น ไม่ต้อง KYC

## คุณทำงานอะไรได้บ้างบนการจอง

| คุณสมบัติ | ค่า |
| --- | --- |
| คอนโซล | ไม่มี IPMI หรือ KVM-over-IP สำหรับลูกค้า การรีบูตและการติดตั้งใหม่ที่คุณขอในแดชบอร์ดจะดำเนินการโดยทีม |
| การเข้ารหัส | คุณเข้ารหัสทุกไดรฟ์ข้อมูลด้วย LUKS หรือการเข้ารหัสแบบเนทีฟของ ZFS ได้ กุญแจอยู่กับคุณ และไม่มีใครในทีมขอสิ่งเหล่านี้เลย |
| ไดรฟ์ | ระบบปฏิบัติการอยู่ใน SSD ของตัวเอง (SSD แบบมิเรอร์สองตัวในรุ่นที่ใหญ่กว่า) ไดรฟ์ข้อมูลมาถึงแบบว่างและยังไม่แบ่งพาร์ทิชัน คุณจึงสร้าง ZFS, อาเรย์ mdadm หรือชุดดิสก์แยกอิสระได้ หากต้องการให้ทีมเตรียมอาเรย์ RAID 6 หรือ RAID 10 ก่อนส่งมอบ กรุณาแจ้งฝ่ายสนับสนุนก่อนส่งมอบเซิร์ฟเวอร์ |
| ติดตั้งระบบใหม่ | การรีบูต การติดตั้งใหม่ และการยกเลิกให้ขอในแดชบอร์ดและดำเนินการโดยทีม การติดตั้งใหม่จะลบข้อมูลทุกไดรฟ์ รวมถึงไดรฟ์ข้อมูล |
| เข้าสู่ระบบ | You log in as root over SSH: paste a public key at checkout and password logins stay off, or leave it empty and receive a temporary root password with the server, to replace at your first login |
| ระบบ | Debian 13, Debian 12, Ubuntu 24.04 LTS, AlmaLinux 10, Rocky Linux 10, Proxmox VE 9 และ Proxmox Backup Server 4 |

## วิธีปลดล็อกแบบใดเหมาะกับเซิร์ฟเวอร์ที่ไม่มีคอนโซล

| วิธีการ | สิ่งที่เข้ารหัส | หลังรีบูต | ความเสี่ยงเมื่อไม่มีคอนโซล |
| --- | --- | --- | --- |
| ไดรฟ์ข้อมูล ปลดล็อกผ่าน SSH | ไดรฟ์ข้อมูล ส่วน SSD ของระบบยังไม่เข้ารหัส | คุณล็อกอินและเปิดไดรฟ์ | ต่ำ: ระบบบูตได้เสมอ |
| ไดรฟ์ข้อมูล, Clevis และ Tang | ไดรฟ์ข้อมูล | ปลดล็อกเมื่อเซิร์ฟเวอร์ Tang ของคุณตอบสนอง | ต่ำ: วลีรหัสยังใช้ด้วยมือได้ |
| Root ที่เข้ารหัส, dropbear-initramfs | ทุกอย่างรวมถึงระบบ | คุณล็อกอินเข้า initramfs และพิมพ์วลีรหัส | สูง: ความผิดพลาดด้านเครือข่ายทำให้เซิร์ฟเวอร์ออฟไลน์ |

## ทำไมการปลดล็อกระยะไกลจึงสำคัญบนเซิร์ฟเวอร์เช่า

เพราะไดรฟ์ที่เข้ารหัสรอคีย์ทุกครั้งที่บูต และไม่มีใครอยู่ที่หน้าจอ ไม่มี IPMI หรือ KVM-over-IP สำหรับลูกค้า การรีบูตและการติดตั้งใหม่ที่คุณขอในแดชบอร์ดจะดำเนินการโดยทีม

ดังนั้นวางแผนการปลดล็อกก่อนเข้ารหัส ในการจอง ระบบปฏิบัติการอยู่บน SSD ของตัวเองและไดรฟ์ข้อมูลมาแบบว่าง การแยกนี้ทำให้วิธีแรกง่าย: เก็บระบบไว้ไม่เข้ารหัส เข้ารหัสเฉพาะไดรฟ์ที่เก็บข้อมูลของคุณ

**เข้ารหัสไดรฟ์ที่เก็บข้อมูลของคุณ ทำให้เส้นทางการบูตเรียบง่ายพอที่จะแก้ไขผ่าน SSH ได้**

## จะเข้ารหัสไดรฟ์ข้อมูลและปลดล็อกหลังรีบูตได้อย่างไร

จัดรูปแบบไดรฟ์ข้อมูลแต่ละตัวเป็น LUKS2 เปิดใช้งาน แล้วสร้างอาร์เรย์บนอุปกรณ์ที่เปิดแล้ว วลีรหัสไม่เคยแตะดิสก์ของเซิร์ฟเวอร์ หลังรีบูต ระบบจะขึ้นมา คุณล็อกอินผ่าน SSH และเปิดไดรฟ์อีกครั้ง การเลือกอาร์เรย์นั้นอยู่ใน [ZFS หรือฮาร์ดแวร์ RAID](https://basalthold.com/th/zfs-vs-hardware-raid/ "ZFS or hardware RAID on a rented storage server")

บริการที่ใช้อาร์เรย์จะรอจนกว่าคุณจะทำ ขั้นตอนตรวจสอบ uptime จากภายนอก หรือสคริปต์ที่แจ้งเตือนเมื่ออาร์เรย์หายไป จะบอกคุณว่ามีการรีบูตเกิดขึ้น

*เข้ารหัสไดรฟ์ข้อมูล แล้วสร้างพูลบนไดรฟ์เหล่านั้น*

```bash
apt install cryptsetup
# ZFS tools: zfsutils-linux and zfs-dkms from Debian contrib; built into Proxmox

# once per data drive: this erases it and asks for a passphrase
cryptsetup luksFormat --type luks2 /dev/disk/by-id/ata-MODEL_SERIAL01
cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01
# ...repeat for data02, data03, data04

zpool create -o ashift=12 tank raidz2 \
  /dev/mapper/data01 /dev/mapper/data02 /dev/mapper/data03 /dev/mapper/data04

# after every reboot: log in, open each drive, import the pool
cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01
# ...repeat for each drive
zpool import tank
```

## การเข้ารหัสแบบ native ของ ZFS แทน LUKS ได้หรือไม่

ได้ ในระดับ dataset สร้าง dataset ด้วย `encryption=on` และวลีรหัส จากนั้นรัน `zfs load-key` และ `zfs mount` หลังรีบูตแต่ละครั้ง ไม่ต้องทำงานกับ initramfs

แต่ซ่อนได้น้อยกว่า คู่มือ OpenZFS ระบุว่า ZFS ไม่เข้ารหัส metadata โครงสร้างของพูล: ชื่อ dataset และ snapshot, พร็อพเพอร์ตี้ และขนาดไฟล์ยังอ่านได้ LUKS เข้ารหัสทั้งไดรฟ์รวมถึง metadata ทั้งสองแบบอยู่ภายใต้คำมั่นเดียวกัน: คุณเข้ารหัสทุกไดรฟ์ข้อมูลด้วย LUKS หรือการเข้ารหัสแบบเนทีฟของ ZFS ได้ กุญแจอยู่กับคุณ และไม่มีใครในทีมขอสิ่งเหล่านี้เลย

## จะปลดล็อกไดรฟ์โดยอัตโนมัติด้วย Clevis และ Tang ได้อย่างไร

รันเซิร์ฟเวอร์ Tang บนเครื่องที่คุณควบคุมที่อื่น และผูกไดรฟ์แต่ละตัวเข้ากับมัน Clevis เพิ่มคีย์สล็อตใหม่ให้ LUKS และเก็บคีย์ที่เข้ารหัสไว้ใน LUKS header เมื่อบูตมันจะขอให้ Tang ช่วยกู้คีย์ วลีรหัสของคุณยังใช้ได้เหมือนเดิม

คู่มือ Clevis ระบุว่าการปลดล็อกช่วงต้นของการบูตครอบคลุมเฉพาะโวลุ่ม root ไดรฟ์ข้อมูลใช้ตัวปลดล็อกช่วงปลายของการบูต ซึ่งอ่าน `/etc/crypttab` บน Debian แพ็กเกจ clevis-systemd จะปลดล็อกอุปกรณ์ที่ทำเครื่องหมาย `_netdev` ไว้ที่นั่น

ไดรฟ์จะเปิดเฉพาะเมื่อเซิร์ฟเวอร์จัดเก็บข้อมูลเข้าถึงเซิร์ฟเวอร์ Tang ของคุณได้ อนุญาตเฉพาะ IP address ของเซิร์ฟเวอร์จัดเก็บข้อมูลผ่านไฟร์วอลล์ของ Tang ไดรฟ์ที่ออกจากเครือข่ายนั้นจะยังคงล็อกอยู่

*Tang บนเครื่องของคุณเอง Clevis บนเซิร์ฟเวอร์จัดเก็บข้อมูล*

```bash
# on your Tang machine, not on the storage server
apt install tang
systemctl enable tangd.socket --now

# on the storage server
apt install clevis clevis-luks clevis-systemd
clevis luks bind -d /dev/disk/by-id/ata-MODEL_SERIAL01 tang '{"url": "http://TANG_ADDRESS"}'
# ...repeat for each data drive

# /etc/crypttab, one line per drive:
# data01  /dev/disk/by-id/ata-MODEL_SERIAL01  none  luks,_netdev

systemctl enable clevis-luks-askpass.path

# check the binding, or unlock by hand
clevis luks list -d /dev/disk/by-id/ata-MODEL_SERIAL01
clevis luks unlock -d /dev/disk/by-id/ata-MODEL_SERIAL01
```

## จะปลดล็อก root ที่เข้ารหัสด้วย dropbear-initramfs ได้อย่างไร

วาง SSH server ขนาดเล็กอย่าง dropbear ไว้ใน initramfs มันจะเริ่มทำงานก่อน root filesystem คุณล็อกอินด้วย key ของคุณ แล้ว `cryptroot-unlock` จะถามหา passphrase คู่มือ cryptsetup ของ Debian อธิบายเรื่องนี้ไว้สำหรับระบบ headless

README ของ Debian กำหนดกติกาไว้ key เก็บไว้ใน `/etc/dropbear/initramfs/authorized_keys` และปิดการล็อกอินด้วยรหัสผ่าน ส่วน options เก็บไว้ใน `/etc/dropbear/initramfs/dropbear.conf` network driver ต้องอยู่ใน `/etc/initramfs-tools/modules` และตั้ง static address ด้วยพารามิเตอร์ `ip=` ของ kernel เส้นทางเดียวกันนี้ใช้ได้บน Debian 12, Debian 13 และ Ubuntu 24.04

initramfs ใช้ host key ของตัวเอง SSH client ของคุณจึงเตือนว่า key เปลี่ยน ให้เก็บ known_hosts แยกไฟล์ไว้สำหรับมัน ตามที่ README แนะนำ

*dropbear-initramfs บน Debian หรือ Ubuntu*

```bash
apt install dropbear-initramfs

# your public key, limited to the unlock command
echo 'no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="/bin/cryptroot-unlock" ssh-ed25519 AAAA... you@laptop' \
  > /etc/dropbear/initramfs/authorized_keys

# listen on another port than the main SSH server
echo 'DROPBEAR_OPTIONS="-p 2222"' >> /etc/dropbear/initramfs/dropbear.conf

# static address in the initramfs: client::gateway:netmask::interface:off
# add to GRUB_CMDLINE_LINUX in /etc/default/grub, for example:
# ip=203.0.113.10::203.0.113.1:255.255.255.0::eno1:off
update-grub
update-initramfs -u -k all

# from your computer, at each boot
ssh -p 2222 -o UserKnownHostsFile=~/.ssh/known_hosts.initramfs root@203.0.113.10
```

> **ตั้งค่าผิดเพียงข้อเดียวก็ทำให้เซิร์ฟเวอร์ออฟไลน์ได้** ถ้า initramfs ไม่มีเครือข่าย ก็ไม่มีใครพิมพ์ passphrase ได้ และ console ก็ช่วยไม่ได้ การรีบูต การติดตั้งใหม่ และการยกเลิกให้ขอในแดชบอร์ดและดำเนินการโดยทีม การติดตั้งใหม่จะลบข้อมูลทุกไดรฟ์ รวมถึงไดรฟ์ข้อมูล ตรวจสอบชื่อ interface, driver และบรรทัด ip= สองรอบก่อนรีบูต

## การเข้ารหัสปกป้องอะไร และไม่ปกป้องอะไร?

มันปกป้องไดรฟ์ที่ถูกล็อกไว้: ปิดเครื่อง ถอดออกไปเปลี่ยน หรือถูกทิ้งไว้หลังยกเลิก นั่นคือตอนที่โฮสต์หรือใครก็ตามถือฮาร์ดแวร์ไว้โดยไม่มี key ของคุณ สิ่งที่เกิดขึ้นกับไดรฟ์หลังจากคุณออกไปนั้นอยู่ใน [ข้อมูลหลังการยกเลิก](https://basalthold.com/th/data-after-server-cancellation/ "What happens to your data when you cancel a rented storage server")

ขณะที่เซิร์ฟเวอร์ทำงานแบบปลดล็อก key จะอยู่ในหน่วยความจำ คนที่ล็อกอินเข้ามาก็ยังลบข้อมูลได้ ความเสี่ยงนั้นครอบคลุมอยู่ใน [immutable backups](https://basalthold.com/th/immutable-backups/ "How to make backups immutable against ransomware on your own server") สำหรับข้อมูลที่เซิร์ฟเวอร์ไม่จำเป็นต้องอ่านเลย ให้เข้ารหัสบนเครื่องของคุณเองก่อนอัปโหลด ดู [client-side encrypted backups](https://basalthold.com/th/client-side-encrypted-backups/ "Client-side encryption for backups on a rented server")

จากผู้ขาย storage server 23 รายที่ Basalthold ตรวจสอบเมื่อ 2 November 2026, 2 รายกำหนดให้ยืนยันตัวตนก่อนส่งมอบ และ 12 รายอาจขอได้ตามเงื่อนไขบางอย่าง การเข้ารหัสปกป้องไดรฟ์ ส่วน ไม่ต้อง KYC: ไม่ต้องใช้บัตรประชาชน ไม่ต้องเซลฟี่ ไม่ต้องใช้เอกสาร ไม่ต้องใช้บัตร และไม่ต้องใช้หมายเลขโทรศัพท์ ในทุกขั้นตอน

## มีคำถามอื่นอะไรที่คนถามกันเรื่องการปลดล็อกระยะไกล?

### เซิร์ฟเวอร์ Basalthold มี KVM หรือ IPMI console ไหม?

ไม่มี ไม่มี IPMI หรือ KVM-over-IP สำหรับลูกค้า การรีบูตและการติดตั้งใหม่ที่คุณขอในแดชบอร์ดจะดำเนินการโดยทีม นั่นคือเหตุผลที่หน้านี้แนะนำให้เข้ารหัสไดรฟ์ข้อมูลและทำให้ระบบยังบูตได้

### ถ้าฉันล็อกตัวเองออกมาล่ะ?

ขอติดตั้งใหม่ได้จากแดชบอร์ด การรีบูต การติดตั้งใหม่ และการยกเลิกให้ขอในแดชบอร์ดและดำเนินการโดยทีม การติดตั้งใหม่จะลบข้อมูลทุกไดรฟ์ รวมถึงไดรฟ์ข้อมูล ให้ข้อมูลของคุณกู้คืนได้จากสำเนาที่สองก่อนเปลี่ยน boot path

### ทีม Basalthold ต้องการ LUKS passphrase ของฉันไหม?

ไม่ต้องการ คุณเข้ารหัสทุกไดรฟ์ข้อมูลด้วย LUKS หรือการเข้ารหัสแบบเนทีฟของ ZFS ได้ กุญแจอยู่กับคุณ และไม่มีใครในทีมขอสิ่งเหล่านี้เลย

### ใช้ Clevis กับ TPM แทน Tang ได้ไหม?

Clevis มี TPM pin แต่ key จะยังอยู่ภายในเครื่องที่เช่าไว้ Tang server ที่คุณควบคุมเองจะเก็บความลับส่วนหนึ่งไว้นอกฮาร์ดแวร์

### เช่า encrypted storage server ด้วยคริปโตแบบไม่ต้อง KYC ได้ไหม?

ได้ Basalthold รับ BTC, USDT, USDC, ETH, SOL, LTC, XMR เริ่มจากเติมยอดคงเหลือ US$1 เงื่อนไขการพักเงินและข้อกำหนดอยู่ใน [รายการราคา](https://basalthold.com/th/pricing/ "Basalthold storage server prices")

**ไดรฟ์เปล่า key ของคุณ** Hold 40: AMD Ryzen 5 3600 (6 คอร์ / 12 เธรด), 64 GB DDR4, ฮาร์ดไดรฟ์ 4 × 10 TB (40 TB แบบ raw) พร้อม NVMe 512 GB สำหรับระบบ, พอร์ต 1 Gbit/s พร้อมทราฟฟิก 60 TB ต่อ 30 วัน, 1 IPv4 และ IPv6 /64 สำหรับ $201.09/30 days คริปโต ไม่ต้อง KYC [เช่า Hold 40 ในคีชีเนา](https://basalthold.com/app/checkout/?plan=hold-40&location=md-kiv&lang=th) · [เช่า Hold 100 ในอัมสเตอร์ดัม](https://basalthold.com/app/checkout/?plan=hold-100&location=nl-ams&lang=th)

## แหล่งที่มา

1. [dropbear-initramfs README.initramfs (2025.89-1~deb13u1)](https://sources.debian.org/data/main/d/dropbear/2025.89-1~deb13u1/debian/README.initramfs) — Debian (read 2026-11-02)
2. [cryptsetup README.Debian, section 8: Remotely unlock encrypted rootfs](https://sources.debian.org/data/main/c/cryptsetup/2:2.7.5-2/debian/README.Debian) — Debian (read 2026-11-02)
3. [dropbear-initramfs file list, Ubuntu noble](https://packages.ubuntu.com/noble/all/dropbear-initramfs/filelist) — Ubuntu (read 2026-11-02)
4. [Clevis README: binding LUKS volumes](https://github.com/latchset/clevis) — latchset (read 2026-11-02)
5. [clevis-luks-unlockers(7)](https://github.com/latchset/clevis/blob/master/src/luks/clevis-luks-unlockers.7.adoc) — latchset (read 2026-11-02)
6. [Tang README](https://github.com/latchset/tang) — latchset (read 2026-11-02)
7. [Package clevis-systemd in Debian trixie](https://packages.debian.org/trixie/clevis-systemd) — Debian (read 2026-11-02)
8. [zfs-load-key(8): encryption](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-load-key.8.html) — OpenZFS (read 2026-11-02)
9. [nfsroot: the ip= kernel parameter](https://docs.kernel.org/admin-guide/nfs/nfsroot.html) — Linux kernel documentation (read 2026-11-02)

---

Basalthold: Basalthold ให้เช่า dedicated server สำหรับ storage ใน Amsterdam, Bucharest และ Chisinau จ่ายด้วยคริปโต ไม่ต้อง KYC: ไม่ต้องใช้บัตรประชาชน ไม่ต้องเซลฟี่ ไม่ต้องส่งเอกสาร แต่ละเซิร์ฟเวอร์เป็นเครื่องกายภาพเต็มเครื่องที่มีฮาร์ดดิสก์ 24 TB ถึง 160 TB สำหรับลูกค้ารายเดียว ส่งมอบพร้อมไดรฟ์ข้อมูลเปล่าและสิทธิ์ root เหมาะสำหรับ backup, archive, ซิงค์ไฟล์ และ self-hosted object storage เมื่อวันที่ 2 พฤศจิกายน 2026 ราคาอยู่ที่ $110.99 ต่อ 30 วันสำหรับ 24 TB ถึง $561.39 สำหรับ 160 TB ($3.50 ต่อ raw TB) ดำเนินการโดย DomaineGoat LLC บริษัทจดทะเบียนใน Panama ไม่เก็บ log และไม่เคยขอ encryption key ของคุณ