Linux分区怎样进行加密

Linux 分区加密实操指南

一方案选择与原理

推荐使用 LUKS/dm-crypt：这是 Linux 上的事实标准，工作在块设备层，提供透明的磁盘加密；通过 cryptsetup 工具创建、打开与管理加密卷，支持多密钥槽、密码/密钥文件、以及与发行版安装器的无缝集成。适合加密系统盘、数据盘、外置盘等。
目录级替代 eCryptfs：堆叠式文件系统，适合加密用户主目录或特定目录，登录自动挂载/登出卸载，性能略低于 LUKS，且不适合全盘加密。
场景补充：跨平台或移动介质可用 VeraCrypt；云同步目录可用 Cryptomator 等。

二快速上手 LUKS 加密一个数据分区

准备与确认
- 确认目标分区（如：/dev/sdb1 或 /dev/nvme0n1p2），确保已备份数据，后续操作会覆盖分区内容。
- 安装工具（如未预装）：Debian/Ubuntu 执行 sudo apt install cryptsetup；Fedora 执行 sudo dnf install cryptsetup。

初始化加密分区

或使用密钥文件（更安全、便于自动化）：

sudo dd if=/dev/urandom of=/etc/cryptfs.key bs=1 count=4096
sudo chmod 600 /etc/cryptfs.key
sudo cryptsetup luksFormat /dev/sdb1 /etc/cryptfs.key

打开并映射
- 口令方式：sudo cryptsetup open /dev/sdb1 encrypted_part
- 密钥文件方式：sudo cryptsetup open --key-file=/etc/cryptfs.key /dev/sdb1 encrypted_part
- 成功后会出现 /dev/mapper/encrypted_part。

创建文件系统并挂载

sudo mkfs.ext4 /dev/mapper/encrypted_part
sudo mkdir -p /mnt/secure
sudo mount /dev/mapper/encrypted_part /mnt/secure

卸载与关闭

sudo umount /mnt/secure
sudo cryptsetup close encrypted_part

提示
- 使用 SSD 且设备支持 TRIM 时，可在打开时加 --allow-discards 以获得更好性能（注意隐私影响）：
  sudo cryptsetup --allow-discards luksOpen /dev/sdb1 encrypted_part

三开机自动解锁与挂载

编辑 /etc/crypttab（使用 UUID 更稳定，避免设备名变化）
- 口令解锁（启动时会提示输入口令）：
  encrypted_part UUID=<你的分区UUID> none luks
- 密钥文件解锁（请确保密钥文件权限为 600，且妥善备份）：
  encrypted_part UUID=<你的分区UUID> /etc/cryptfs.key luks
编辑 /etc/fstab
- /dev/mapper/encrypted_part /mnt/secure ext4 defaults 0 2
使配置生效
- 更新 initramfs（视发行版而定）：
  Ubuntu/Debian：sudo update-initramfs -u
  RHEL/CentOS/Fedora：sudo dracut -f
说明
- 若使用密钥文件，需确保其可用（如放入 initramfs 或网络密钥服务）；口令解锁最通用。

四系统盘加密与注意事项

分区规划
- 系统盘加密通常需将 /boot 单独分区（不加密），其余如 /、/home 放入 LUKS 容器；安装器（如 Ubuntu 的 ubiquity、Fedora 的 anaconda）提供“加密 LVM”选项可简化流程。
解锁与引导
- 系统启动会先提示输入 LUKS 口令，解锁后由 initramfs 挂载根文件系统；确保 initramfs 包含 cryptsetup 与必要驱动。
交换分区与休眠
- 建议对 swap 也加密（可用 LUKS 分区或 swapfile 置于 LUKS 卷中），并在休眠/恢复时正确处理密钥，避免明文泄露。
备份与恢复
- 备份 LUKS 头部（极其重要，头部损坏将导致数据不可解密）：
  sudo cryptsetup luksHeaderBackup /dev/sdb1 --header-backup-file /root/luks-header-backup.img
- 恢复：
  sudo cryptsetup luksHeaderRestore /dev/sdb1 --header-backup-file /root/luks-header-backup.img
风险提示
- 加密无法防止所有风险，尤其是 物理损坏导致的头部/扇区损坏；务必做好离线备份与恢复演练。

五常用命令速查

查看设备：lsblk、blkid
初始化：sudo cryptsetup luksFormat /dev/sdX [keyfile]
打开/关闭：sudo cryptsetup open [--key-file=] /dev/sdX name、sudo cryptsetup close name
查看头部信息：sudo cryptsetup luksDump /dev/sdX
文件系统：sudo mkfs.ext4 /dev/mapper/name、sudo mount /dev/mapper/name /mnt/point
自动挂载：/etc/crypttab、/etc/fstab 与 update-initramfs/dracut 配合使用

最新问答