# LUKS ile şifrelenmiş kiralık bir sunucunun kilidini uzaktan nasıl açarım? > Konsolu olmayan kiralık sunucuda LUKS uzaktan kilit açma: veri diskleri SSH, Clevis ve Tang veya dropbear-initramfs ile. Debian ve Ubuntu; kripto ile ödeme. - URL: https://basalthold.com/tr/luks-remote-unlock/ - Son güncelleme: 2026-11-02 - Yayıncı: Basalthold (https://basalthold.com) Konsolda hiç kimse tuşlara basamadığında, şifreli diskleri yeniden başlatmanın ardından geri getirmenin üç yolu. Veri disklerinin kilidini SSH üzerinden açın, Clevis'in bir Tang sunucusuna sormasına izin verin ya da initramfs içindeki dropbear'a giriş yapın. **Hızlı yanıt — LUKS ile şifrelenmiş kiralık bir sunucunun kilidini uzaktan nasıl açarım?** LUKS ile şifrelenmiş kiralık bir sunucunun kilidini uzaktan açmak için veri disklerini şifreleyip açılıştan sonra SSH üzerinden açın ya da Clevis'in anahtarı kendi Tang sunucunuzdan almasına izin verin. Şifreli bir root için dropbear-initramfs ekleyip cryptroot-unlock çalıştırın (Debian ve Ubuntu paketleri, 2 November 2026 tarihinde kontrol edildi). **Basalthold** sunucuların konsolu yoktur; hold'lar $110,99 tutarından başlar, yalnızca kripto ile ödeme, KYC olmadan. ## Bir hold üzerinde neyle çalışırsınız? | Özellik | Değer | | --- | --- | | Konsol | Müşteriler için IPMI veya KVM-over-IP erişimi yoktur; dashboard'da talep ettiğiniz yeniden başlatmalar ve yeniden kurulumlar ekip tarafından gerçekleştirilir | | Şifreleme | Her veri diskini LUKS veya ZFS yerel şifrelemesiyle şifreleyebilirsiniz; anahtarlar sizde kalır ve ekipten kimse bunları asla istemez | | Diskler | İşletim sistemi kendi SSD'sinde bulunur (daha büyük kasalarda iki aynalı SSD); veri diskleri boş ve bölümlenmemiş olarak gelir, böylece ZFS, bir mdadm dizisi veya bir dizi bağımsız disk oluşturabilirsiniz. Ekibin teslimattan önce bir RAID 6 veya RAID 10 dizisi hazırlamasını istiyorsanız, sunucu teslim edilmeden önce destek ekibine bildirin | | Yeniden kurulumlar | Yeniden başlatma, yeniden kurulum ve iptal talepleri dashboard'da yapılır ve ekip tarafından işlenir; yeniden kurulum, veri diskleri dahil tüm diskleri siler | | Giriş | You log in as root over SSH: paste a public key at checkout and password logins stay off, or leave it empty and receive a temporary root password with the server, to replace at your first login | | Sistemler | Debian 13, Debian 12, Ubuntu 24.04 LTS, AlmaLinux 10, Rocky Linux 10, Proxmox VE 9 ve Proxmox Backup Server 4 | ## Konsolu olmayan bir sunucuya hangi kilit açma yöntemi uyar? | Yöntem | Neyin şifrelendiği | Yeniden başlatmanın ardından | Konsol olmadığındaki risk | | --- | --- | --- | --- | | Veri diskleri, SSH ile açılır | Veri diskleri; sistem SSD'si şifresiz kalır | Giriş yaparsınız ve diskleri açarsınız | Düşük: sistem her zaman açılır | | Veri diskleri, Clevis ve Tang | Veri diskleri | Tang sunucunuz yanıt verdiğinde açılır | Düşük: parola yine elle de çalışır | | Şifreli root, dropbear-initramfs | Sistem dahil her şey | Initramfs'a giriş yapar ve parolayı yazarsınız | Yüksek: bir ağ hatası sunucuyu çevrimdışı bırakır | ## Kiralık bir sunucuda uzaktan kilit açma neden önemlidir? Çünkü şifreli bir disk her açılışta anahtarını bekler ve ekranın başında kimse yoktur. Müşteriler için IPMI veya KVM-over-IP erişimi yoktur; dashboard'da talep ettiğiniz yeniden başlatmalar ve yeniden kurulumlar ekip tarafından gerçekleştirilir. Öyleyse şifrelemeden önce kilit açmayı planlayın. Bir hold üzerinde işletim sistemi kendi SSD'sinde durur ve veri diskleri boş gelir. Bu ayrım ilk yöntemi kolaylaştırır: sistemi şifresiz bırakın, verilerinizi tutan diskleri şifreleyin. **Verilerinizi tutan diskleri şifreleyin; önyükleme yolunu SSH üzerinden düzeltilebilecek kadar basit tutun.** ## Veri disklerini nasıl şifrelerim ve yeniden başlatmanın ardından nasıl açarım? Her veri diskini LUKS2 olarak biçimlendirin, açın ve diziyi açılan aygıtlar üzerine kurun. Parola sunucunun diskine hiç dokunmaz. Yeniden başlatmanın ardından sistem açılır, SSH üzerinden giriş yaparsınız ve diskleri yeniden açarsınız. Üzerine dizinin seçimi [ZFS veya donanım RAID](https://basalthold.com/tr/zfs-vs-hardware-raid/ "ZFS or hardware RAID on a rented storage server") konusundadır. Havuzu kullanan servisler siz bunu yapana kadar bekler. Dışarıdan bir uptime kontrolü ya da havuz eksik olduğunda uyaran bir script, bir yeniden başlatmanın olduğunu size söyler. *Veri disklerini şifreleyin, ardından havuzu bunların üzerine kurun* ```bash apt install cryptsetup # ZFS tools: zfsutils-linux and zfs-dkms from Debian contrib; built into Proxmox # once per data drive: this erases it and asks for a passphrase cryptsetup luksFormat --type luks2 /dev/disk/by-id/ata-MODEL_SERIAL01 cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01 # ...repeat for data02, data03, data04 zpool create -o ashift=12 tank raidz2 \ /dev/mapper/data01 /dev/mapper/data02 /dev/mapper/data03 /dev/mapper/data04 # after every reboot: log in, open each drive, import the pool cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01 # ...repeat for each drive zpool import tank ``` ## ZFS yerel şifreleme LUKS'in yerini alabilir mi? Evet, dataset başına. Dataset'i `encryption=on` ve bir parola ile oluşturun, sonra her yeniden başlatmadan sonra `zfs load-key` ve `zfs mount` çalıştırın. Initramfs üzerinde herhangi bir çalışma gerekmez. Ancak daha azını gizler. OpenZFS kılavuzu ZFS'in havuz yapısı üstverisini şifrelemediğini söylüyor: dataset ve snapshot adları, özellikler ve dosya boyutları okunabilir kalır. LUKS tüm diski, üstveri dahil şifreler. İkisi de aynı vaat kapsamındadır: Her veri diskini LUKS veya ZFS yerel şifrelemesiyle şifreleyebilirsiniz; anahtarlar sizde kalır ve ekipten kimse bunları asla istemez. ## Diskleri Clevis ve Tang ile nasıl otomatik açarım? Başka bir yerde kontrol ettiğiniz bir makinede Tang sunucusu çalıştırın ve her diski ona bağlayın. Clevis, LUKS'e yeni bir anahtar yuvası ekler ve şifreli anahtarı LUKS başlığında saklar. Açılışta Tang'a anahtarı geri kurtarması için sorar; parolanız önceden olduğu gibi çalışmaya devam eder. Clevis kılavuzu erken önyükleme kilit açmanın yalnızca root birimini kapsadığını söylüyor. Veri diskleri, `/etc/crypttab` dosyasını okuyan geç önyükleme kilidi açıcısını kullanır. Debian'da clevis-systemd paketi, `_netdev` olarak işaretlenmiş aygıtların kilidini orada açar. Diskler yalnızca depolama sunucusu Tang sunucunuza ulaşabildiği sürece açılır. Tang güvenlik duvarından yalnızca depolama sunucusunun IP adresine izin verin. Bu ağdan çıkan diskler kilitli kalır. *Tang kendi makinenizde, Clevis depolama sunucusunda* ```bash # on your Tang machine, not on the storage server apt install tang systemctl enable tangd.socket --now # on the storage server apt install clevis clevis-luks clevis-systemd clevis luks bind -d /dev/disk/by-id/ata-MODEL_SERIAL01 tang '{"url": "http://TANG_ADDRESS"}' # ...repeat for each data drive # /etc/crypttab, one line per drive: # data01 /dev/disk/by-id/ata-MODEL_SERIAL01 none luks,_netdev systemctl enable clevis-luks-askpass.path # check the binding, or unlock by hand clevis luks list -d /dev/disk/by-id/ata-MODEL_SERIAL01 clevis luks unlock -d /dev/disk/by-id/ata-MODEL_SERIAL01 ``` ## Şifreli bir root'un kilidini dropbear-initramfs ile nasıl açarım? initramfs içine küçük bir SSH sunucusu, dropbear ekleyin. Kök dosya sisteminden önce başlar, anahtarınızla oturum açarsınız ve `cryptroot-unlock` parola ifadesini sorar. Debian'ın cryptsetup kılavuzu bunu headless sistemler için açıklar. Debian README kuralları belirler. Anahtarlar `/etc/dropbear/initramfs/authorized_keys` içine gider ve parola ile oturum açma kapalıdır. Seçenekler `/etc/dropbear/initramfs/dropbear.conf` içine gider. Ağ sürücüsü `/etc/initramfs-tools/modules` içinde olmalıdır ve statik adres çekirdeğin `ip=` parametresiyle ayarlanır. Aynı yollar Debian 12, Debian 13 ve Ubuntu 24.04 üzerinde geçerlidir. initramfs kendi host anahtarlarını kullanır, bu yüzden SSH istemciniz değişen anahtar konusunda uyarır. README'nin önerdiği gibi bunun için ayrı bir known_hosts dosyası tutun. *Debian veya Ubuntu üzerinde dropbear-initramfs* ```bash apt install dropbear-initramfs # your public key, limited to the unlock command echo 'no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="/bin/cryptroot-unlock" ssh-ed25519 AAAA... you@laptop' \ > /etc/dropbear/initramfs/authorized_keys # listen on another port than the main SSH server echo 'DROPBEAR_OPTIONS="-p 2222"' >> /etc/dropbear/initramfs/dropbear.conf # static address in the initramfs: client::gateway:netmask::interface:off # add to GRUB_CMDLINE_LINUX in /etc/default/grub, for example: # ip=203.0.113.10::203.0.113.1:255.255.255.0::eno1:off update-grub update-initramfs -u -k all # from your computer, at each boot ssh -p 2222 -o UserKnownHostsFile=~/.ssh/known_hosts.initramfs root@203.0.113.10 ``` > **Tek bir yanlış ayar sunucuyu çevrimdışı tutar** initramfs ağ almazsa kimse parola ifadesini yazamaz ve hiçbir konsol yardımcı olamaz. Yeniden başlatma, yeniden kurulum ve iptal talepleri dashboard'da yapılır ve ekip tarafından işlenir; yeniden kurulum, veri diskleri dahil tüm diskleri siler. Yeniden başlatmadan önce arayüz adını, sürücüyü ve ip= satırını iki kez kontrol edin. ## Şifreleme neyi korur, neyi korumaz? Kilitli diskleri korur: kapatılmış, değişim için sökülmüş veya iptalden sonra geride bırakılmış olsalar bile. İşte o anda anahtarınız olmadan donanımı host veya başka biri elinde tutar. Ayrıldıktan sonra disklere ne olduğu [iptal sonrası veriler](https://basalthold.com/tr/data-after-server-cancellation/ "What happens to your data when you cancel a rented storage server") sayfasında ele alınıyor. Sunucu kilidi açık çalışırken anahtar bellekte durur. Oturum açan biri yine de veri silebilir; bu risk [değiştirilemez yedekler](https://basalthold.com/tr/immutable-backups/ "How to make backups immutable against ransomware on your own server") sayfasında ele alınıyor. Sunucunun hiç okuması gerekmeyen veriler için yüklemeden önce kendi makinenizde şifreleyin; bkz. [istemci tarafında şifrelenmiş yedekler](https://basalthold.com/tr/client-side-encrypted-backups/ "Client-side encryption for backups on a rented server"). 2 November 2026 tarihinde kontrol edilen 23 depolama sunucusu satıcısından Basalthold teslimattan önce kimlik istedi ve 2 tetikleyicilerde bunu talep edebildi; 12 ise isteyemedi. Şifreleme diskleri korur; KYC yok: hiçbir aşamada kimlik, selfie, belge, kart ve telefon numarası yok. ## İnsanlar uzaktan kilit açma hakkında başka neler soruyor? ### Basalthold sunucularda KVM veya IPMI konsolu var mı? Hayır. Müşteriler için IPMI veya KVM-over-IP erişimi yoktur; dashboard'da talep ettiğiniz yeniden başlatmalar ve yeniden kurulumlar ekip tarafından gerçekleştirilir. Bu nedenle bu sayfa, veri sürücülerini şifrelemeyi ve sistemi önyüklenebilir tutmayı öneriyor. ### Ya kendimi dışarıda bırakırsam? Kontrol panelinden yeniden kurulum talep edin. Yeniden başlatma, yeniden kurulum ve iptal talepleri dashboard'da yapılır ve ekip tarafından işlenir; yeniden kurulum, veri diskleri dahil tüm diskleri siler. Önyükleme yolunu değiştirmeden önce verilerinizi ikinci bir kopyadan kurtarılabilir tutun. ### Basalthold ekibinin LUKS parolama ihtiyacı var mı? Hayır. Her veri diskini LUKS veya ZFS yerel şifrelemesiyle şifreleyebilirsiniz; anahtarlar sizde kalır ve ekipten kimse bunları asla istemez. ### Tang yerine TPM ile Clevis kullanabilir miyim? Clevis'in bir TPM pin'i var, ancak anahtar o zaman kiralanan makinenin içinde kalır. Sizin kontrolünüzdeki bir Tang sunucusu, gizli anahtarın bir kısmını donanımdan uzak tutar. ### Kripto ile ve KYC olmadan şifreli bir depolama sunucusu kiralayabilir miyim? Evet. Basalthold, $1 tutarındaki bir bakiyeden başlayarak BTC, USDT, USDC, ETH, SOL, LTC, XMR tutarını alır. Bekletme süreleri ve koşullar [fiyat listesinde](https://basalthold.com/tr/pricing/ "Basalthold storage server prices"). **Boş diskler, sizin anahtarlarınız** Hold 40: $201.09/30 gün için AMD Ryzen 5 3600 (6 çekirdek / 12 iş parçacığı), 64 GB DDR4, 4 × 10 TB sabit disk (40 TB ham) artı sistem için 512 GB NVMe, 30 gün başına 60 TB trafikli 1 Gbit/s port, 1 IPv4 ve bir IPv6 /64. Kripto, KYC yok. [Kişinev'de Hold 40 kirala](https://basalthold.com/app/checkout/?plan=hold-40&location=md-kiv&lang=tr) · [Amsterdam'da Hold 100 kiralayın](https://basalthold.com/app/checkout/?plan=hold-100&location=nl-ams&lang=tr) ## Kaynaklar 1. [dropbear-initramfs README.initramfs (2025.89-1~deb13u1)](https://sources.debian.org/data/main/d/dropbear/2025.89-1~deb13u1/debian/README.initramfs) — Debian (read 2026-11-02) 2. [cryptsetup README.Debian, bölüm 8: Şifreli kök dosya sisteminin uzaktan kilidini açma](https://sources.debian.org/data/main/c/cryptsetup/2:2.7.5-2/debian/README.Debian) — Debian (read 2026-11-02) 3. [dropbear-initramfs dosya listesi, Ubuntu noble](https://packages.ubuntu.com/noble/all/dropbear-initramfs/filelist) — Ubuntu (read 2026-11-02) 4. [Clevis README: LUKS birimlerini bağlama](https://github.com/latchset/clevis) — latchset (read 2026-11-02) 5. [clevis-luks-unlockers(7)](https://github.com/latchset/clevis/blob/master/src/luks/clevis-luks-unlockers.7.adoc) — latchset (read 2026-11-02) 6. [Tang README](https://github.com/latchset/tang) — latchset (read 2026-11-02) 7. [Debian trixie paketinde clevis-systemd](https://packages.debian.org/trixie/clevis-systemd) — Debian (read 2026-11-02) 8. [zfs-load-key(8): şifreleme](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-load-key.8.html) — OpenZFS (read 2026-11-02) 9. [nfsroot: ip= çekirdek parametresi](https://docs.kernel.org/admin-guide/nfs/nfsroot.html) — Linux kernel documentation (read 2026-11-02) --- Basalthold: Basalthold, Amsterdam, Bükreş ve Kişinev'de kripto ile ödenen, KYC olmadan depolama dedicated sunucuları kiralar: kimlik yok, selfie yok, belge yok. Her sunucu tek bir müşteriye ayrılmış, 24 TB ile 160 TB arası sabit disklere sahip tam bir fiziksel makinedir; boş veri diskleri ve root erişimiyle teslim edilir; yedeklemeler, arşivler, dosya senkronizasyonu ve kendi barındırdığınız nesne depolama için uygundur. 2 Kasım 2026'da fiyatlar 24 TB için 30 gün başına $110.99'dan 160 TB için $561.39'a kadar uzanıyordu (ham TB başına $3.50). Panama'da kayıtlı bir şirket olan DomaineGoat LLC tarafından işletilir, hiçbir log tutmaz ve şifreleme anahtarlarınızı asla istemez.