# Як розблокувати LUKS-зашифрований орендований сервер віддалено?

> Віддалене розблокування LUKS на орендованому сервері без консолі: диски через SSH, Clevis і Tang або dropbear-initramfs | Basalthold

- URL: https://basalthold.com/uk/luks-remote-unlock/
- Оновлено: 2026-11-02
- Видавець: Basalthold (https://basalthold.com)

Три способи повернути зашифровані диски після перезавантаження, коли нікому набрати пароль на консолі. Відкрийте диски з даними через SSH, дозвольте Clevis запитати сервер Tang або увійдіть у dropbear всередині initramfs.

**Коротка відповідь — Як розблокувати LUKS-зашифрований орендований сервер віддалено?**

Щоб розблокувати LUKS-зашифрований орендований сервер віддалено, зашифруйте диски з даними і відкривайте їх через SSH після завантаження або дозвольте Clevis отримати ключ з вашого власного сервера Tang. Для зашифрованого кореня додайте dropbear-initramfs і запустіть cryptroot-unlock (пакети Debian і Ubuntu, перевірено 2 November 2026). **Basalthold** сервери не мають консолі; оренда починається від 110,99 USD, лише крипто, без KYC.

## З чим ви працюєте на оренді?

| Параметр | Значення |
| --- | --- |
| Консоль | Для клієнтів немає доступу IPMI або KVM-over-IP; перезавантаження та перевстановлення, які ви запитуєте в дашборді, виконує команда |
| Шифрування | Ви можете зашифрувати кожен диск для даних за допомогою LUKS або вбудованого шифрування ZFS; ключі залишаються у вас, і ніхто з команди їх ніколи не запитує |
| Диски | Операційна система розміщена на окремому SSD (на більших конфігураціях — на двох дзеркальних SSD); диски для даних надходять порожніми та неpartitionованими, тож ви можете створити ZFS, масив mdadm або набір незалежних дисків. Якщо ви хочете, щоб команда підготувала масив RAID 6 або RAID 10 перед доставкою, повідомте про це підтримці до передачі сервера |
| Переустановки | Перезавантаження, перевстановлення та скасування запитуються в дашборді й обробляються командою; перевстановлення стирає всі диски, включно з дисками для даних |
| Вхід | You log in as root over SSH: paste a public key at checkout and password logins stay off, or leave it empty and receive a temporary root password with the server, to replace at your first login |
| Системи | Debian 13, Debian 12, Ubuntu 24.04 LTS, AlmaLinux 10, Rocky Linux 10, Proxmox VE 9 і Proxmox Backup Server 4 |

## Який спосіб розблокування підходить для сервера без консолі?

| Метод | Що шифрується | Після перезавантаження | Ризик без консолі |
| --- | --- | --- | --- |
| Диски з даними, відкриття через SSH | Диски з даними; системний SSD залишається незашифрованим | Ви входите і відкриваєте диски | Низький: система завжди завантажується |
| Диски з даними, Clevis і Tang | Диски з даними | Відкриваються, коли ваш сервер Tang відповідає | Низький: парольна фраза все ще працює вручну |
| Зашифрований корінь, dropbear-initramfs | Усе, включно з системою | Ви входите в initramfs і вводите парольну фразу | Високий: помилка в мережі залишить сервер офлайн |

## Чому віддалене розблокування важливе на орендованому сервері?

Бо зашифрований диск чекає на свій ключ при кожному завантаженні, а біля екрана нікого немає. Для клієнтів немає доступу IPMI або KVM-over-IP; перезавантаження та перевстановлення, які ви запитуєте в дашборді, виконує команда.

Тож продумайте розблокування ще до шифрування. На оренді операційна система живе на власному SSD, а диски з даними надходять порожніми. Цей поділ спрощує перший спосіб: залиште систему незашифрованою, зашифруйте диски, де лежать ваші дані.

**Шифруйте диски, де лежать ваші дані; тримайте шлях завантаження достатньо простим, щоб полагодити його через SSH.**

## Як зашифрувати диски з даними і розблокувати їх після перезавантаження?

Відформатуйте кожен диск з даними як LUKS2, відкрийте його і побудуйте масив на відкритих пристроях. Парольна фраза ніколи не потрапляє на диск сервера. Після перезавантаження система піднімається, ви входите через SSH і знову відкриваєте диски. Вибір масиву зверху — це [ZFS або апаратний RAID](https://basalthold.com/uk/zfs-vs-hardware-raid/ "ZFS or hardware RAID on a rented storage server").

Сервіси, що користуються пулом, чекатимуть, поки ви це зробите. Зовнішня перевірка доступності або скрипт, що сповіщає, коли пул відсутній, підкаже, що сталося перезавантаження.

*Зашифруйте диски з даними, потім побудуйте пул на них*

```bash
apt install cryptsetup
# ZFS tools: zfsutils-linux and zfs-dkms from Debian contrib; built into Proxmox

# once per data drive: this erases it and asks for a passphrase
cryptsetup luksFormat --type luks2 /dev/disk/by-id/ata-MODEL_SERIAL01
cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01
# ...repeat for data02, data03, data04

zpool create -o ashift=12 tank raidz2 \
  /dev/mapper/data01 /dev/mapper/data02 /dev/mapper/data03 /dev/mapper/data04

# after every reboot: log in, open each drive, import the pool
cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01
# ...repeat for each drive
zpool import tank
```

## Чи може власне шифрування ZFS замінити LUKS?

Так, для кожного датасету. Створіть датасет з `encryption=on` і парольною фразою, потім запускайте `zfs load-key` і `zfs mount` після кожного перезавантаження. Роботи з initramfs не потрібно.

Але приховує воно менше. Посібник OpenZFS каже, що ZFS не шифрує метадані структури пулу: назви датасетів і снапшотів, властивості та розміри файлів залишаються читабельними. LUKS шифрує весь диск, включно з метаданими. Обидва підпадають під ту саму обіцянку: Ви можете зашифрувати кожен диск для даних за допомогою LUKS або вбудованого шифрування ZFS; ключі залишаються у вас, і ніхто з команди їх ніколи не запитує.

## Як розблокувати диски автоматично за допомогою Clevis і Tang?

Запустіть сервер Tang на машині, яку ви контролюєте деінде, і прив'яжіть до нього кожен диск. Clevis додає новий слот ключа до LUKS і зберігає зашифрований ключ у заголовку LUKS. Під час завантаження він просить Tang допомогти відновити ключ; ваша парольна фраза працює як і раніше.

Посібник Clevis каже, що розблокування на ранній стадії завантаження охоплює лише кореневий том. Диски з даними використовують розблокувач на пізній стадії, який читає `/etc/crypttab`. У Debian пакет clevis-systemd розблоковує там пристрої, позначені `_netdev`.

Диски відкриваються, лише поки сервер зберігання може дістатися до вашого сервера Tang. Пропустіть через фаєрвол Tang лише IP-адресу сервера зберігання. Диски, що вийшли з цієї мережі, залишаються заблокованими.

*Tang на вашій власній машині, Clevis на сервері зберігання*

```bash
# on your Tang machine, not on the storage server
apt install tang
systemctl enable tangd.socket --now

# on the storage server
apt install clevis clevis-luks clevis-systemd
clevis luks bind -d /dev/disk/by-id/ata-MODEL_SERIAL01 tang '{"url": "http://TANG_ADDRESS"}'
# ...repeat for each data drive

# /etc/crypttab, one line per drive:
# data01  /dev/disk/by-id/ata-MODEL_SERIAL01  none  luks,_netdev

systemctl enable clevis-luks-askpass.path

# check the binding, or unlock by hand
clevis luks list -d /dev/disk/by-id/ata-MODEL_SERIAL01
clevis luks unlock -d /dev/disk/by-id/ata-MODEL_SERIAL01
```

## Як розблокувати зашифрований корінь за допомогою dropbear-initramfs?

Додайте невеликий SSH-сервер dropbear в initramfs. Він запускається до кореневої файлової системи, ви входите зі своїм ключем, і `cryptroot-unlock` запитує парольну фразу. Посібник Debian з cryptsetup описує це для headless-систем.

README Debian задає правила. Ключі кладуться в `/etc/dropbear/initramfs/authorized_keys`, а вхід за паролем вимкнено. Опції йдуть у `/etc/dropbear/initramfs/dropbear.conf`. Мережевий драйвер має бути в `/etc/initramfs-tools/modules`, а статична адреса задається параметром ядра `ip=`. Ті самі шляхи діють на Debian 12, Debian 13 і Ubuntu 24.04.

initramfs використовує власні host-ключі, тож ваш SSH-клієнт попереджає про змінений ключ. Тримайте для нього окремий файл known_hosts, як радить README.

*dropbear-initramfs на Debian або Ubuntu*

```bash
apt install dropbear-initramfs

# your public key, limited to the unlock command
echo 'no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="/bin/cryptroot-unlock" ssh-ed25519 AAAA... you@laptop' \
  > /etc/dropbear/initramfs/authorized_keys

# listen on another port than the main SSH server
echo 'DROPBEAR_OPTIONS="-p 2222"' >> /etc/dropbear/initramfs/dropbear.conf

# static address in the initramfs: client::gateway:netmask::interface:off
# add to GRUB_CMDLINE_LINUX in /etc/default/grub, for example:
# ip=203.0.113.10::203.0.113.1:255.255.255.0::eno1:off
update-grub
update-initramfs -u -k all

# from your computer, at each boot
ssh -p 2222 -o UserKnownHostsFile=~/.ssh/known_hosts.initramfs root@203.0.113.10
```

> **Одне неправильне налаштування залишає сервер офлайн** Якщо initramfs не отримає мережу, ніхто не зможе ввести парольну фразу, і жодна консоль не допоможе. Перезавантаження, перевстановлення та скасування запитуються в дашборді й обробляються командою; перевстановлення стирає всі диски, включно з дисками для даних. Перевірте назву інтерфейсу, драйвер і рядок ip= двічі перед перезавантаженням.

## Що шифрування захищає, а що ні?

Воно захищає заблоковані диски: вимкнені, витягнуті для заміни або залишені після скасування. Саме тоді хост або будь-хто інший має обладнання без вашого ключа. Що відбувається з дисками після того, як ви йдете, описано на [дані після скасування](https://basalthold.com/uk/data-after-server-cancellation/ "What happens to your data when you cancel a rented storage server").

Поки сервер працює незаблокованим, ключ лежить у пам'яті. Той, хто увійде, все ще може видалити дані; цей ризик покрито на [незмінні резервні копії](https://basalthold.com/uk/immutable-backups/ "How to make backups immutable against ransomware on your own server"). Для даних, які серверу ніколи не потрібно читати, шифруйте на власній машині перед завантаженням; див. [резервні копії, зашифровані на клієнті](https://basalthold.com/uk/client-side-encrypted-backups/ "Client-side encryption for backups on a rented server").

З 23 продавців сховищних серверів Basalthold перевірено на 2 November 2026, 2 вимагали ID до доставки, а 12 могли попросити його за тригерами. Шифрування захищає диски; Без KYC: ні ID, ні селфі, ні документів, ні картки й ні номера телефону — на жодному етапі.

## Що ще люди питають про віддалене розблокування?

### Чи є консоль KVM або IPMI на серверах Basalthold?

Ні. Для клієнтів немає доступу IPMI або KVM-over-IP; перезавантаження та перевстановлення, які ви запитуєте в дашборді, виконує команда. Саме тому ця сторінка радить шифрувати диски з даними й зберігати систему завантажуваною.

### Що, якщо я заблокую себе сам?

Запросіть перевстановлення в панелі керування. Перезавантаження, перевстановлення та скасування запитуються в дашборді й обробляються командою; перевстановлення стирає всі диски, включно з дисками для даних. Тримайте дані відновлюваними з другої копії, перш ніж змінювати шлях завантаження.

### Чи потрібна команді Basalthold моя парольна фраза LUKS?

Ні. Ви можете зашифрувати кожен диск для даних за допомогою LUKS або вбудованого шифрування ZFS; ключі залишаються у вас, і ніхто з команди їх ніколи не запитує.

### Чи можу я використовувати Clevis з TPM замість Tang?

Clevis має TPM pin, але тоді ключ залишиться всередині орендованої машини. Сервер Tang, який ви контролюєте, тримає частину секрету поза обладнанням.

### Чи можу я орендувати зашифрований сховищний сервер за криптовалюту без KYC?

Так. Basalthold приймає BTC, USDT, USDC, ETH, SOL, LTC, XMR, від поповнення на 1 USD. Умови та правила — у [прайс-листі](https://basalthold.com/uk/pricing/ "Basalthold storage server prices").

**Порожні диски, ваші ключі** Hold 40: AMD Ryzen 5 3600 (6 ядер / 12 потоків), 64 GB DDR4, 4 × 10 TB жорстких диски (40 TB raw) плюс 512 GB NVMe для системи, порт 1 Gbit/s із 60 TB трафіку за 30 днів, 1 IPv4 та IPv6 /64, за $201.09/30 днів. Крипта, без KYC. [Орендувати Hold 40 у Кишиневі](https://basalthold.com/app/checkout/?plan=hold-40&location=md-kiv&lang=uk) · [Орендувати Hold 100 в Амстердамі](https://basalthold.com/app/checkout/?plan=hold-100&location=nl-ams&lang=uk)

## Джерела

1. [dropbear-initramfs README.initramfs (2025.89-1~deb13u1)](https://sources.debian.org/data/main/d/dropbear/2025.89-1~deb13u1/debian/README.initramfs) — Debian (read 2026-11-02)
2. [cryptsetup README.Debian, розділ 8: Remotely unlock encrypted rootfs](https://sources.debian.org/data/main/c/cryptsetup/2:2.7.5-2/debian/README.Debian) — Debian (read 2026-11-02)
3. [список файлів dropbear-initramfs, Ubuntu noble](https://packages.ubuntu.com/noble/all/dropbear-initramfs/filelist) — Ubuntu (read 2026-11-02)
4. [Clevis README: прив'язування томів LUKS](https://github.com/latchset/clevis) — latchset (read 2026-11-02)
5. [clevis-luks-unlockers(7)](https://github.com/latchset/clevis/blob/master/src/luks/clevis-luks-unlockers.7.adoc) — latchset (read 2026-11-02)
6. [Tang README](https://github.com/latchset/tang) — latchset (read 2026-11-02)
7. [Пакет clevis-systemd у Debian trixie](https://packages.debian.org/trixie/clevis-systemd) — Debian (read 2026-11-02)
8. [zfs-load-key(8): шифрування](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-load-key.8.html) — OpenZFS (read 2026-11-02)
9. [nfsroot: параметр ядра ip=](https://docs.kernel.org/admin-guide/nfs/nfsroot.html) — Linux kernel documentation (read 2026-11-02)

---

Basalthold: Basalthold орендує виділені сервери для зберігання даних в Амстердамі, Бухаресті та Кишиневі з оплатою в криптовалюті без KYC: без ID, без селфі, без документів. Кожен сервер — це ціла фізична машина з жорсткими дисками від 24 TB до 160 TB для одного клієнта, що постачається з чистими дисками даних і root-доступом, для бекапів, архівів, синхронізації файлів і власного object storage. Станом на 2 листопада 2026 року ціни становили від $110.99 за 30 днів за 24 TB до $561.39 за 160 TB ($3.50 за сирий TB). Сервісом керує DomaineGoat LLC, компанія, зареєстрована в Панамі, не веде логів і ніколи не запитує ваші ключі шифрування.