Коротко о главном

Шифрование диска защищает данные при потере ноутбука или краже диска из сервера. В Linux стандартом остаётся LUKS поверх dm-crypt: он шифрует блоки целиком, работает с любыми файловыми системами и поддерживается установщиками большинства дистрибутивов.

Без шифрования любой, кто получил физический доступ к диску, прочитает данные, обойдя пароли ОС. LUKS закрывает этот сценарий, но требует дисциплины: потерянный заголовок или пароль означает потерю данных.

В этой статье разберём Шифрование LUKS по шагам: установка, базовая конфигурация, практические сценарии и ошибки, которые встречаются чаще всего.

Зачем нужен Шифрование LUKS

Шифрование LUKS решает вполне конкретные задачи: Шифрование дисков в Linux: LUKS2, crypttab, резервная копия заголовка и восстановление доступа. Важно не превращать инструмент в самоцель — если задача проще решается штатными средствами системы, начните с них.

Установка

В Debian, Ubuntu и Linux Mint используется пакетный менеджер APT:

sudo apt install cryptsetup

В Fedora и RHEL-совместимых системах пакет ставится через DNF:

sudo dnf install cryptsetup

В Arch Linux и производных пакет доступен в официальных репозиториях:

sudo pacman -S cryptsetup

Пошаговая настройка

После установки переходите к базовому сценарию. Команды ниже выполняйте от пользователя с достаточными правами, но не запускайте всё под root без необходимости.

1. Сделайте резервную копию

Шифрование нового раздела уничтожает данные. Для существующего раздела используйте отдельную процедуру и обязательно имейте копию.

lsblk -o NAME,SIZE,FSTYPE
sudo cryptsetup benchmark

2. Создайте контейнер LUKS2

Укажите надёжную парольную фразу. LUKS2 поддерживает Argon2 и лучше защищает от подбора.

sudo cryptsetup luksFormat --type luks2 /dev/sdb1
sudo cryptsetup luksDump /dev/sdb1 | head

3. Откройте и создайте файловую систему

После открытия появляется устройство в /dev/mapper. Форматируйте именно его, а не исходный раздел.

sudo cryptsetup open /dev/sdb1 cryptdata
sudo mkfs.ext4 /dev/mapper/cryptdata
sudo mount /dev/mapper/cryptdata /mnt

4. Сохраните заголовок

Копия заголовка позволяет восстановить доступ при повреждении. Храните её отдельно и защищайте: она содержит ключевые слоты.

sudo cryptsetup luksHeaderBackup /dev/sdb1 --header-backup-file /root/luks-header.img
sudo chmod 600 /root/luks-header.img

5. Настройте автоматическое открытие

Для дополнительного диска добавьте запись в crypttab и fstab. Проверьте загрузку, прежде чем считать настройку завершённой.

sudo blkid /dev/sdb1
# добавьте строку в /etc/crypttab и /etc/fstab
sudo systemctl daemon-reload
sudo reboot

Базовая конфигурация

Начните с минимального рабочего варианта. Не копируйте большой конфиг целиком: добавляйте параметры по одному и проверяйте результат после каждого изменения.

# /etc/crypttab
cryptdata UUID=xxxx none luks,discard

Практические советы

Эти рекомендации проверены на повседневных задачах. Начните с тех, которые закрывают вашу текущую боль, а не со всего списка сразу.

Совет 1. Храните резервную копию заголовка вне шифруемого диска.

Храните резервную копию заголовка вне шифруемого диска.

Совет 2. Не используйте один и тот же пароль для LUKS и учётной записи.

Не используйте один и тот же пароль для LUKS и учётной записи.

Совет 3. Проверяйте restore заголовка на тестовом устройстве.

Проверяйте restore заголовка на тестовом устройстве.

Совет 4. discard включает TRIM на SSD, но может раскрывать факт удаления данных

discard включает TRIM на SSD, но может раскрывать факт удаления данных.

Совет 5. Для серверов без консоли продумайте удалённую разблокировку или откажи

Для серверов без консоли продумайте удалённую разблокировку или откажитесь от шифрования корня.

Практический сценарий

Представьте типовую задачу: нужно развернуть Шифрование LUKS на одной машине, проверить работу и передать доступ коллеге. Начните с чистой системы или снапшота, чтобы результат был воспроизводим. Запишите все команды в отдельный файл — это одновременно шпаргалка и черновик будущей автоматизации.

Дальше действуйте короткими шагами: установка, минимальная конфигурация, проверка, затем расширение. После каждого шага фиксируйте, что именно изменилось и как это проверить. Такой журнал экономит время, когда через месяц понадобится повторить настройку на другом сервере или объяснить её коллеге.

Порядок работ для этого сценария выглядит так:

  1. Сделайте резервную копию
  2. Создайте контейнер LUKS2
  3. Откройте и создайте файловую систему
  4. Сохраните заголовок
  5. Настройте автоматическое открытие

Отдельно продумайте, что произойдёт при сбое. Для Шифрование LUKS важно заранее знать, где хранятся данные, как их скопировать и сколько времени займёт восстановление. Если ответа нет, не двигайтесь дальше: сначала закройте этот пробел, потом добавляйте новые возможности.

Типичные ошибки

Ниже — сбои, которые встречаются чаще всего. Перед исправлением сохраните текущие конфиги и запишите, какие изменения вносите: так проще откатиться.

1. Неверная парольная фраза

Проверьте раскладку и регистр. Если пароль утерян, без резервного слота или заголовка данные не восстановить.

2. Система не загружается после изменения crypttab

Загрузитесь с Live USB, смонтируйте систему и исправьте crypttab/fstab. Ошибка в UUID делает раздел недоступным.

3. Повреждён заголовок LUKS

Восстановите его из резервной копии на новый диск того же размера. Без копии восстановление невозможно.

Что проверить перед вводом в работу

Перед тем как считать настройку завершённой, пройдитесь по короткому списку. Он не заменяет полноценный аудит, но отсекает большинство очевидных проблем.

Чек-лист

  • Версия Шифрование LUKS зафиксирована, а обновления не применяются вслепую.
  • Есть резервная копия конфигурации и данных, восстановление проверено.
  • Доступ ограничен нужными пользователями и сетями, лишние порты закрыты.
  • Логи и метрики собираются, понятно, куда смотреть при сбое.
  • Изменения описаны в документации и могут быть повторены на другой машине.
  • Есть план отката и понятный критерий, по которому вы решите его применить.

Если какой-то пункт вызывает затруднение, это сигнал вернуться к соответствующему разделу, а не откладывать проверку. Настройка, которую нельзя повторить, плохо работает не только у коллег, но и у вас самих через полгода.

Итог

Шифрование LUKS — это не «поставил и забыл». Рабочая конфигурация складывается из понимания задачи, аккуратной установки и проверки результата. Начните с базового сценария, затем добавляйте только те возможности, которые действительно используете.

Насколько публикация полезна?

Нажмите на звезду, чтобы оценить!

Средняя оценка 0 / 5. Количество оценок: 0

Оценок пока нет. Поставьте оценку первым.

Поделиться: Telegram ВКонтакте