Làm sao mở khóa máy chủ thuê được mã hóa LUKS từ xa?

Vì sao mở khóa từ xa quan trọng trên máy chủ thuê?

Vì một ổ đã mã hóa chờ khóa của nó ở mỗi lần khởi động, và không ai ở trước màn hình. Không có quyền truy cập IPMI hoặc KVM-over-IP cho khách hàng; các yêu cầu reboot và cài lại bạn gửi trong dashboard sẽ do đội ngũ thực hiện.

Vậy hãy lên kế hoạch mở khóa trước khi mã hóa. Trên một hold, hệ điều hành nằm trên SSD riêng và các ổ dữ liệu được giao trống. Cách tách này làm phương pháp đầu tiên trở nên dễ dàng: giữ hệ thống không mã hóa, mã hóa các ổ chứa dữ liệu của bạn.

Hãy mã hóa các ổ chứa dữ liệu của bạn; giữ đường khởi động đơn giản đủ để sửa qua SSH.

Làm sao mã hóa các ổ dữ liệu và mở khóa chúng sau khi khởi động lại?

Định dạng từng ổ dữ liệu thành LUKS2, mở nó, và tạo array trên các thiết bị đã mở. Passphrase không bao giờ chạm vào đĩa của máy chủ. Sau khi khởi động lại, hệ thống khởi lên, bạn đăng nhập qua SSH và mở các ổ lại. Lựa chọn array bên trên có ở ZFS hoặc hardware RAID.

Các dịch vụ dùng pool sẽ chờ cho đến khi bạn làm. Một kiểm tra uptime từ bên ngoài, hoặc một script cảnh báo khi pool mất, cho bạn biết đã có một lần khởi động lại.

apt install cryptsetup
# ZFS tools: zfsutils-linux and zfs-dkms from Debian contrib; built into Proxmox

# once per data drive: this erases it and asks for a passphrase
cryptsetup luksFormat --type luks2 /dev/disk/by-id/ata-MODEL_SERIAL01
cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01
# ...repeat for data02, data03, data04

zpool create -o ashift=12 tank raidz2 \
  /dev/mapper/data01 /dev/mapper/data02 /dev/mapper/data03 /dev/mapper/data04

# after every reboot: log in, open each drive, import the pool
cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01
# ...repeat for each drive
zpool import tank

ZFS native encryption có thay thế được LUKS không?

Có, theo từng dataset. Tạo dataset bằng encryption=on và một passphrase, rồi chạy zfs load-key và zfs mount sau mỗi lần khởi động lại. Không cần thao tác initramfs.

Tuy vậy, nó che giấu ít hơn. Hướng dẫn của OpenZFS nói ZFS không mã hóa metadata cấu trúc pool: tên dataset và snapshot, thuộc tính và kích thước tệp vẫn đọc được. LUKS mã hóa toàn bộ ổ, kể cả metadata. Cả hai đều nằm trong cùng một cam kết: Bạn có thể mã hóa mọi ổ đĩa dữ liệu bằng LUKS hoặc mã hóa gốc của ZFS; khóa nằm lại với bạn và không ai trong đội ngũ hỏi xin chúng.

Làm sao mở khóa các ổ tự động bằng Clevis và Tang?

Chạy một máy chủ Tang trên máy bạn kiểm soát ở nơi khác, và gắn từng ổ vào đó. Clevis thêm một key slot mới vào LUKS và lưu khóa đã mã hóa trong header LUKS. Khi khởi động, nó nhờ Tang giúp khôi phục khóa; passphrase của bạn vẫn dùng được như trước.

Hướng dẫn của Clevis nói việc mở khóa giai đoạn đầu chỉ áp dụng cho volume root. Các ổ dữ liệu dùng bộ mở khóa giai đoạn sau, đọc /etc/crypttab. Trên Debian, gói clevis-systemd mở khóa các thiết bị được đánh dấu _netdev ở đó.

Các ổ chỉ mở khi máy chủ lưu trữ kết nối được tới máy chủ Tang của bạn. Chỉ cho phép địa chỉ IP của máy chủ lưu trữ qua firewall của Tang. Các ổ rời khỏi mạng đó sẽ vẫn bị khóa.

# on your Tang machine, not on the storage server
apt install tang
systemctl enable tangd.socket --now

# on the storage server
apt install clevis clevis-luks clevis-systemd
clevis luks bind -d /dev/disk/by-id/ata-MODEL_SERIAL01 tang '{"url": "http://TANG_ADDRESS"}'
# ...repeat for each data drive

# /etc/crypttab, one line per drive:
# data01  /dev/disk/by-id/ata-MODEL_SERIAL01  none  luks,_netdev

systemctl enable clevis-luks-askpass.path

# check the binding, or unlock by hand
clevis luks list -d /dev/disk/by-id/ata-MODEL_SERIAL01
clevis luks unlock -d /dev/disk/by-id/ata-MODEL_SERIAL01

Làm sao mở khóa root được mã hóa bằng dropbear-initramfs?

Đặt một SSH server nhỏ, dropbear, vào initramfs. Nó khởi động trước root filesystem, bạn đăng nhập bằng khóa của mình, và cryptroot-unlock sẽ hỏi passphrase. Hướng dẫn cryptsetup của Debian mô tả cách này cho các hệ thống headless.

README của Debian quy định các nguyên tắc. Khóa nằm trong /etc/dropbear/initramfs/authorized_keys, và đăng nhập bằng mật khẩu bị tắt. Tùy chọn nằm trong /etc/dropbear/initramfs/dropbear.conf. Driver mạng phải nằm trong /etc/initramfs-tools/modules, và địa chỉ static được đặt bằng tham số ip= của kernel. Các đường dẫn tương tự áp dụng trên Debian 12, Debian 13 và Ubuntu 24.04.

initramfs dùng host key riêng, nên SSH client của bạn sẽ cảnh báo về khóa bị thay đổi. Hãy giữ một file known_hosts riêng cho nó, như README gợi ý.

apt install dropbear-initramfs

# your public key, limited to the unlock command
echo 'no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="/bin/cryptroot-unlock" ssh-ed25519 AAAA... you@laptop' \
  > /etc/dropbear/initramfs/authorized_keys

# listen on another port than the main SSH server
echo 'DROPBEAR_OPTIONS="-p 2222"' >> /etc/dropbear/initramfs/dropbear.conf

# static address in the initramfs: client::gateway:netmask::interface:off
# add to GRUB_CMDLINE_LINUX in /etc/default/grub, for example:
# ip=203.0.113.10::203.0.113.1:255.255.255.0::eno1:off
update-grub
update-initramfs -u -k all

# from your computer, at each boot
ssh -p 2222 -o UserKnownHostsFile=~/.ssh/known_hosts.initramfs [email protected]

Mã hóa bảo vệ những gì, và không bảo vệ những gì?

Nó bảo vệ các ổ đĩa đang bị khóa: đã tắt nguồn, bị tháo để thay thế, hoặc bị bỏ lại sau khi hủy dịch vụ. Đó là lúc host hoặc bất kỳ ai nắm phần cứng mà không có khóa của bạn. Điều gì xảy ra với ổ đĩa sau khi bạn rời đi được nêu tại dữ liệu sau khi hủy.

Trong khi server chạy ở trạng thái đã mở khóa, khóa nằm trong bộ nhớ. Người đăng nhập được vẫn có thể xóa dữ liệu; rủi ro đó được đề cập tại backup bất biến. Với dữ liệu mà server không bao giờ cần đọc, hãy mã hóa trên máy của bạn trước khi upload; xem backup mã hóa phía client.

Trong số 23 nhà bán storage server được kiểm tra vào Basalthold ngày 2 November 2026, 2 yêu cầu ID trước khi giao dịch và 12 có thể yêu cầu khi có dấu hiệu. Mã hóa bảo vệ các ổ đĩa; Không cần KYC: không cần ID, không selfie, không giấy tờ, không thẻ và không số điện thoại, ở bất kỳ bước nào.