# 加密遠端伺服器磁碟
> 遠端伺服器的全碟加密使用 LUKS2，在開機時透過帶外主控台或 initramfs 中的 dropbear SSH shell 輸入密碼。它能保護磁碟被扣押及汰換磁碟被復原的風險。它無法保護運行中的伺服器，因為其金鑰位於記憶體中。
**Source:** https://incognitovps.com/zh-tw/guides/encrypt-a-server-disk
**Updated:** 2026-07-09

## 精確定義它所針對的威脅

全碟加密保護的是靜態資料。一旦機器開機並解鎖磁碟區，金鑰便位於核心記憶體中，檔案系統對任何具有足夠權限的對象都可讀——包括在虛擬化平台上，能傾印客戶記憶體的超管理器操作者。

因此，FDE 能防禦：關機狀態下的硬體扣押、資料中心汰換時硬碟流出，以及虛擬磁碟映像檔的冷複製。它無法防禦：運行中系統上的攻擊者，或針對運行中 VM 的超管理器層級對手。這些是誠實的界線，任何跳過這些的指南都是在販賣安心感。

## 遠端解鎖的問題

在筆電上，您在開機時輸入密碼。在一部兩千公里外的伺服器上，必須有東西提供密碼，而顯而易見的解決方案都違背了目的——金鑰檔案存放在同一顆磁碟上，或由供應商儲存金鑰，都意味著加密只是裝飾。

有兩個正確答案。在我們的專屬及 GPU 伺服器上，使用帶外主控台：IPMI 提供開機畫面，您就像在本地一樣輸入密碼。在 VPS 上，將 dropbear-initramfs 放入初始 ramdisk，讓機器開機到足以接受 SSH 連線，您透過該連線解鎖，然後繼續開機。

## 設定方式

最乾淨的路徑是在安裝時加密。透過虛擬媒體開機自訂 ISO，建立未加密的 `/boot` 分割區，以及一個 LUKS2 容器來容納其餘所有內容，然後安裝其中。選擇 Argon2id 作為金鑰衍生函數——它是 LUKS2 的預設值，且具有記憶體困難性，這對於抵禦暴力破解很重要。

在任何專屬、GPU 或儲存方案上訂購時選擇 LUKS，我們會處理分割；您在首次開機時透過主控台輸入密碼，它永遠不會接觸我們的基礎設施。無需付費，且沒有復原途徑，這其實是同一件事的兩種說法。

- cryptsetup luksFormat --type luks2 --pbkdf argon2id /dev/sdaX
- 未加密的 /boot，其餘所有內容都在容器內
- 在 VPS 上安裝 dropbear-initramfs 以進行遠端解鎖
- 將您的 SSH 金鑰加入 /etc/dropbear/initramfs/authorized_keys
- 在放入任何資料前，測試完整重新開機
- 保留第二個金鑰槽，使用儲存在安全處的長隨機密碼

## 兩個常見錯誤

第一個是只有一個金鑰槽。LUKS2 支援八個；至少使用兩個，第二個存放於密碼管理員中的長隨機密碼。單一遺忘的密碼無法復原，而無法復原就是無法復原。

第二個是：在把資料放上機器之前，沒有測試重新開機。一個設定錯誤的 dropbear initramfs 會讓第一次非預期的重新開機變成一台永遠回不來的機器。趁著機器還是空的，刻意重新開機兩次。


## 常見問題

### 我的供應商能讀取加密的磁碟嗎？

靜止時不能。在運行的虛擬機上，虛擬化平台的操作者原則上可以讀取客戶的記憶體（其中包含金鑰）——這是所有虛擬化供應商的共通情況。使用 LUKS 的裸機伺服器則消除了這個介面。

### 我該如何解鎖一台無法直接觸及的伺服器？

在專用伺服器和 GPU 伺服器上使用頻帶外的 IPMI 主控台；在 VPS 上則使用 dropbear-initramfs——機器會啟動到足以接受 SSH 連線，您透過 SSH 解鎖，然後繼續啟動。

### 如果我忘了密碼片語怎麼辦？

資料就沒了。沒有任何復原方式、後門或供應商持有的金鑰。至少使用兩個 LUKS 金鑰槽，第二個存放一組長隨機密碼片語，放在密碼管理器中。


---

Incognito VPS — 離岸 VPS、裸機與 GPU 伺服器，全球 16 個站點，其中 8 個因法律特性而獲選。無需身分、僅收加密貨幣、55 秒內部署完成。
Operating since 2020. 16 locations, 8 of them privacy jurisdictions. AS204287.
Payment: BTC, XMR, ETH, USDT, USDC, LTC, TRX, SOL, BNB, DOGE, TON, DAI. No identity verification at any point.
Catalogue: https://incognitovps.com/pricing.md · API: https://incognitovps.com/openapi.json · Index: https://incognitovps.com/llms.txt