# Làm sao mở khóa máy chủ thuê được mã hóa LUKS từ xa?

> Mở khóa LUKS từ xa trên máy chủ thuê không console bằng SSH, Clevis và Tang hoặc dropbear-initramfs. Debian và Ubuntu; không cần KYC, thanh toán crypto.

- URL: https://basalthold.com/vi/luks-remote-unlock/
- Cập nhật lần cuối: 2026-11-02
- Đơn vị phát hành: Basalthold (https://basalthold.com)

Ba cách đưa các ổ đã mã hóa trở lại sau khi khởi động lại khi không ai gõ được tại console. Mở ổ dữ liệu qua SSH, để Clevis hỏi một máy chủ Tang, hoặc đăng nhập vào dropbear bên trong initramfs.

**Trả lời nhanh — Làm sao mở khóa máy chủ thuê được mã hóa LUKS từ xa?**

Để mở khóa máy chủ thuê được mã hóa LUKS từ xa, hãy mã hóa các ổ dữ liệu và mở chúng qua SSH sau khi khởi động, hoặc để Clevis lấy khóa từ máy chủ Tang của bạn. Với root được mã hóa, thêm dropbear-initramfs và chạy cryptroot-unlock (gói của Debian và Ubuntu, đã kiểm tra 2 November 2026). Máy chủ **Basalthold** không có console; giữ bắt đầu từ 110,99 US$, chỉ thanh toán bằng crypto, không cần KYC.

## Bạn làm gì trên một hold?

| Thuộc tính | Giá trị |
| --- | --- |
| Console | Không có quyền truy cập IPMI hoặc KVM-over-IP cho khách hàng; các yêu cầu reboot và cài lại bạn gửi trong dashboard sẽ do đội ngũ thực hiện |
| Mã hóa | Bạn có thể mã hóa mọi ổ đĩa dữ liệu bằng LUKS hoặc mã hóa gốc của ZFS; khóa nằm lại với bạn và không ai trong đội ngũ hỏi xin chúng |
| Ổ đĩa | Hệ điều hành nằm trên SSD riêng (hai SSD mirror trên các gói lớn hơn); các ổ đĩa dữ liệu được giao ở dạng trống và chưa phân vùng, để bạn có thể dựng ZFS, một mảng mdadm hoặc một bộ đĩa độc lập. Nếu bạn muốn đội ngũ chuẩn bị sẵn một mảng RAID 6 hoặc RAID 10 trước khi bàn giao, hãy báo bộ phận hỗ trợ trước khi server được giao |
| Cài lại | Reboot, cài lại và hủy đều được yêu cầu trong dashboard và do đội ngũ xử lý; cài lại sẽ xóa toàn bộ ổ đĩa, kể cả ổ đĩa dữ liệu |
| Đăng nhập | You log in as root over SSH: paste a public key at checkout and password logins stay off, or leave it empty and receive a temporary root password with the server, to replace at your first login |
| Hệ điều hành | Debian 13, Debian 12, Ubuntu 24.04 LTS, AlmaLinux 10, Rocky Linux 10, Proxmox VE 9 và Proxmox Backup Server 4 |

## Phương pháp mở khóa nào phù hợp với máy chủ không có console?

| Phương pháp | Những gì được mã hóa | Sau khi khởi động lại | Rủi ro khi không có console |
| --- | --- | --- | --- |
| Ổ dữ liệu, mở khóa bằng SSH | Các ổ dữ liệu; SSD hệ thống vẫn không mã hóa | Bạn đăng nhập và mở các ổ | Thấp: hệ thống luôn khởi động |
| Ổ dữ liệu, Clevis và Tang | Các ổ dữ liệu | Được mở khóa khi máy chủ Tang của bạn trả lời | Thấp: passphrase vẫn dùng được bằng tay |
| Root được mã hóa, dropbear-initramfs | Tất cả, kể cả hệ thống | Bạn đăng nhập vào initramfs và gõ passphrase | Cao: một sai sót mạng khiến máy chủ ngoại tuyến |

## Vì sao mở khóa từ xa quan trọng trên máy chủ thuê?

Vì một ổ đã mã hóa chờ khóa của nó ở mỗi lần khởi động, và không ai ở trước màn hình. Không có quyền truy cập IPMI hoặc KVM-over-IP cho khách hàng; các yêu cầu reboot và cài lại bạn gửi trong dashboard sẽ do đội ngũ thực hiện.

Vậy hãy lên kế hoạch mở khóa trước khi mã hóa. Trên một hold, hệ điều hành nằm trên SSD riêng và các ổ dữ liệu được giao trống. Cách tách này làm phương pháp đầu tiên trở nên dễ dàng: giữ hệ thống không mã hóa, mã hóa các ổ chứa dữ liệu của bạn.

**Hãy mã hóa các ổ chứa dữ liệu của bạn; giữ đường khởi động đơn giản đủ để sửa qua SSH.**

## Làm sao mã hóa các ổ dữ liệu và mở khóa chúng sau khi khởi động lại?

Định dạng từng ổ dữ liệu thành LUKS2, mở nó, và tạo array trên các thiết bị đã mở. Passphrase không bao giờ chạm vào đĩa của máy chủ. Sau khi khởi động lại, hệ thống khởi lên, bạn đăng nhập qua SSH và mở các ổ lại. Lựa chọn array bên trên có ở [ZFS hoặc hardware RAID](https://basalthold.com/vi/zfs-vs-hardware-raid/ "ZFS or hardware RAID on a rented storage server").

Các dịch vụ dùng pool sẽ chờ cho đến khi bạn làm. Một kiểm tra uptime từ bên ngoài, hoặc một script cảnh báo khi pool mất, cho bạn biết đã có một lần khởi động lại.

*Mã hóa các ổ dữ liệu, rồi tạo pool trên chúng*

```bash
apt install cryptsetup
# ZFS tools: zfsutils-linux and zfs-dkms from Debian contrib; built into Proxmox

# once per data drive: this erases it and asks for a passphrase
cryptsetup luksFormat --type luks2 /dev/disk/by-id/ata-MODEL_SERIAL01
cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01
# ...repeat for data02, data03, data04

zpool create -o ashift=12 tank raidz2 \
  /dev/mapper/data01 /dev/mapper/data02 /dev/mapper/data03 /dev/mapper/data04

# after every reboot: log in, open each drive, import the pool
cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01
# ...repeat for each drive
zpool import tank
```

## ZFS native encryption có thay thế được LUKS không?

Có, theo từng dataset. Tạo dataset bằng `encryption=on` và một passphrase, rồi chạy `zfs load-key` và `zfs mount` sau mỗi lần khởi động lại. Không cần thao tác initramfs.

Tuy vậy, nó che giấu ít hơn. Hướng dẫn của OpenZFS nói ZFS không mã hóa metadata cấu trúc pool: tên dataset và snapshot, thuộc tính và kích thước tệp vẫn đọc được. LUKS mã hóa toàn bộ ổ, kể cả metadata. Cả hai đều nằm trong cùng một cam kết: Bạn có thể mã hóa mọi ổ đĩa dữ liệu bằng LUKS hoặc mã hóa gốc của ZFS; khóa nằm lại với bạn và không ai trong đội ngũ hỏi xin chúng.

## Làm sao mở khóa các ổ tự động bằng Clevis và Tang?

Chạy một máy chủ Tang trên máy bạn kiểm soát ở nơi khác, và gắn từng ổ vào đó. Clevis thêm một key slot mới vào LUKS và lưu khóa đã mã hóa trong header LUKS. Khi khởi động, nó nhờ Tang giúp khôi phục khóa; passphrase của bạn vẫn dùng được như trước.

Hướng dẫn của Clevis nói việc mở khóa giai đoạn đầu chỉ áp dụng cho volume root. Các ổ dữ liệu dùng bộ mở khóa giai đoạn sau, đọc `/etc/crypttab`. Trên Debian, gói clevis-systemd mở khóa các thiết bị được đánh dấu `_netdev` ở đó.

Các ổ chỉ mở khi máy chủ lưu trữ kết nối được tới máy chủ Tang của bạn. Chỉ cho phép địa chỉ IP của máy chủ lưu trữ qua firewall của Tang. Các ổ rời khỏi mạng đó sẽ vẫn bị khóa.

*Tang trên máy của bạn, Clevis trên máy chủ lưu trữ*

```bash
# on your Tang machine, not on the storage server
apt install tang
systemctl enable tangd.socket --now

# on the storage server
apt install clevis clevis-luks clevis-systemd
clevis luks bind -d /dev/disk/by-id/ata-MODEL_SERIAL01 tang '{"url": "http://TANG_ADDRESS"}'
# ...repeat for each data drive

# /etc/crypttab, one line per drive:
# data01  /dev/disk/by-id/ata-MODEL_SERIAL01  none  luks,_netdev

systemctl enable clevis-luks-askpass.path

# check the binding, or unlock by hand
clevis luks list -d /dev/disk/by-id/ata-MODEL_SERIAL01
clevis luks unlock -d /dev/disk/by-id/ata-MODEL_SERIAL01
```

## Làm sao mở khóa root được mã hóa bằng dropbear-initramfs?

Đặt một SSH server nhỏ, dropbear, vào initramfs. Nó khởi động trước root filesystem, bạn đăng nhập bằng khóa của mình, và `cryptroot-unlock` sẽ hỏi passphrase. Hướng dẫn cryptsetup của Debian mô tả cách này cho các hệ thống headless.

README của Debian quy định các nguyên tắc. Khóa nằm trong `/etc/dropbear/initramfs/authorized_keys`, và đăng nhập bằng mật khẩu bị tắt. Tùy chọn nằm trong `/etc/dropbear/initramfs/dropbear.conf`. Driver mạng phải nằm trong `/etc/initramfs-tools/modules`, và địa chỉ static được đặt bằng tham số `ip=` của kernel. Các đường dẫn tương tự áp dụng trên Debian 12, Debian 13 và Ubuntu 24.04.

initramfs dùng host key riêng, nên SSH client của bạn sẽ cảnh báo về khóa bị thay đổi. Hãy giữ một file known_hosts riêng cho nó, như README gợi ý.

*dropbear-initramfs trên Debian hoặc Ubuntu*

```bash
apt install dropbear-initramfs

# your public key, limited to the unlock command
echo 'no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="/bin/cryptroot-unlock" ssh-ed25519 AAAA... you@laptop' \
  > /etc/dropbear/initramfs/authorized_keys

# listen on another port than the main SSH server
echo 'DROPBEAR_OPTIONS="-p 2222"' >> /etc/dropbear/initramfs/dropbear.conf

# static address in the initramfs: client::gateway:netmask::interface:off
# add to GRUB_CMDLINE_LINUX in /etc/default/grub, for example:
# ip=203.0.113.10::203.0.113.1:255.255.255.0::eno1:off
update-grub
update-initramfs -u -k all

# from your computer, at each boot
ssh -p 2222 -o UserKnownHostsFile=~/.ssh/known_hosts.initramfs root@203.0.113.10
```

> **Một cài đặt sai khiến server offline** Nếu initramfs không có mạng, không ai có thể gõ passphrase và không console nào giúp được. Reboot, cài lại và hủy đều được yêu cầu trong dashboard và do đội ngũ xử lý; cài lại sẽ xóa toàn bộ ổ đĩa, kể cả ổ đĩa dữ liệu. Kiểm tra tên interface, driver và dòng ip= hai lần trước khi reboot.

## Mã hóa bảo vệ những gì, và không bảo vệ những gì?

Nó bảo vệ các ổ đĩa đang bị khóa: đã tắt nguồn, bị tháo để thay thế, hoặc bị bỏ lại sau khi hủy dịch vụ. Đó là lúc host hoặc bất kỳ ai nắm phần cứng mà không có khóa của bạn. Điều gì xảy ra với ổ đĩa sau khi bạn rời đi được nêu tại [dữ liệu sau khi hủy](https://basalthold.com/vi/data-after-server-cancellation/ "What happens to your data when you cancel a rented storage server").

Trong khi server chạy ở trạng thái đã mở khóa, khóa nằm trong bộ nhớ. Người đăng nhập được vẫn có thể xóa dữ liệu; rủi ro đó được đề cập tại [backup bất biến](https://basalthold.com/vi/immutable-backups/ "How to make backups immutable against ransomware on your own server"). Với dữ liệu mà server không bao giờ cần đọc, hãy mã hóa trên máy của bạn trước khi upload; xem [backup mã hóa phía client](https://basalthold.com/vi/client-side-encrypted-backups/ "Client-side encryption for backups on a rented server").

Trong số 23 nhà bán storage server được kiểm tra vào Basalthold ngày 2 November 2026, 2 yêu cầu ID trước khi giao dịch và 12 có thể yêu cầu khi có dấu hiệu. Mã hóa bảo vệ các ổ đĩa; Không cần KYC: không cần ID, không selfie, không giấy tờ, không thẻ và không số điện thoại, ở bất kỳ bước nào.

## Người ta còn hỏi gì về mở khóa từ xa?

### Có console KVM hoặc IPMI trên server Basalthold không?

Không. Không có quyền truy cập IPMI hoặc KVM-over-IP cho khách hàng; các yêu cầu reboot và cài lại bạn gửi trong dashboard sẽ do đội ngũ thực hiện. Đó là lý do trang này ưu tiên mã hóa các ổ dữ liệu và giữ hệ thống khởi động được.

### Nếu tôi tự khóa mình ra ngoài thì sao?

Yêu cầu cài lại trong dashboard. Reboot, cài lại và hủy đều được yêu cầu trong dashboard và do đội ngũ xử lý; cài lại sẽ xóa toàn bộ ổ đĩa, kể cả ổ đĩa dữ liệu. Hãy đảm bảo dữ liệu của bạn có thể phục hồi từ bản sao thứ hai trước khi thay đổi đường dẫn khởi động.

### Đội ngũ Basalthold có cần passphrase LUKS của tôi không?

Không. Bạn có thể mã hóa mọi ổ đĩa dữ liệu bằng LUKS hoặc mã hóa gốc của ZFS; khóa nằm lại với bạn và không ai trong đội ngũ hỏi xin chúng.

### Tôi có thể dùng Clevis với TPM thay cho Tang không?

Clevis có TPM pin, nhưng khi đó khóa sẽ nằm trong chính máy thuê. Một Tang server do bạn kiểm soát giữ một phần bí mật tách khỏi phần cứng.

### Tôi có thể thuê storage server mã hóa bằng crypto và không cần KYC không?

Có. Basalthold nhận BTC, USDT, USDC, ETH, SOL, LTC, XMR, từ mức nạp 1 US$. Điều kiện giữ và điều khoản có tại [bảng giá](https://basalthold.com/vi/pricing/ "Basalthold storage server prices").

**Ổ đĩa trống, khóa của bạn** Gói 40: AMD Ryzen 5 3600 (6 core / 12 luồng), 64 GB DDR4, 4 × 10 TB ổ cứng (40 TB raw) cộng 512 GB NVMe cho hệ thống, cổng 1 Gbit/s với 60 TB lưu lượng mỗi 30 ngày, 1 IPv4 và một IPv6 /64, với $201.09/30 ngày. Crypto, không cần KYC. [Thuê Gói 40 tại Chisinau](https://basalthold.com/app/checkout/?plan=hold-40&location=md-kiv&lang=vi) · [Thuê Gói 100 ở Amsterdam](https://basalthold.com/app/checkout/?plan=hold-100&location=nl-ams&lang=vi)

## Nguồn

1. [dropbear-initramfs README.initramfs (2025.89-1~deb13u1)](https://sources.debian.org/data/main/d/dropbear/2025.89-1~deb13u1/debian/README.initramfs) — Debian (read 2026-11-02)
2. [cryptsetup README.Debian, mục 8: Remotely unlock encrypted rootfs](https://sources.debian.org/data/main/c/cryptsetup/2:2.7.5-2/debian/README.Debian) — Debian (read 2026-11-02)
3. [danh sách file dropbear-initramfs, Ubuntu noble](https://packages.ubuntu.com/noble/all/dropbear-initramfs/filelist) — Ubuntu (read 2026-11-02)
4. [Clevis README: binding LUKS volumes](https://github.com/latchset/clevis) — latchset (read 2026-11-02)
5. [clevis-luks-unlockers(7)](https://github.com/latchset/clevis/blob/master/src/luks/clevis-luks-unlockers.7.adoc) — latchset (read 2026-11-02)
6. [Tang README](https://github.com/latchset/tang) — latchset (read 2026-11-02)
7. [Gói clevis-systemd trong Debian trixie](https://packages.debian.org/trixie/clevis-systemd) — Debian (read 2026-11-02)
8. [zfs-load-key(8): encryption](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-load-key.8.html) — OpenZFS (read 2026-11-02)
9. [nfsroot: tham số kernel ip=](https://docs.kernel.org/admin-guide/nfs/nfsroot.html) — Linux kernel documentation (read 2026-11-02)

---

Basalthold: Basalthold cho thuê máy chủ riêng lưu trữ tại Amsterdam, Bucharest và Chisinau, thanh toán bằng crypto không cần KYC: không ID, không selfie, không giấy tờ. Mỗi máy chủ là một máy vật lý nguyên chiếc với ổ cứng từ 24 TB đến 160 TB dành riêng cho một khách hàng, giao kèm ổ dữ liệu trống và quyền root, dùng cho backup, lưu trữ, đồng bộ file và object storage tự vận hành. Ngày 2 tháng 11 năm 2026, giá dao động từ $110.99 mỗi 30 ngày cho 24 TB đến $561.39 cho 160 TB ($3.50 mỗi TB raw). Dịch vụ do DomaineGoat LLC, công ty đăng ký tại Panama, vận hành, không lưu log và không bao giờ hỏi khóa mã hóa của bạn.