良许Linux教程网 干货合集 自动解锁Linux上的加密磁盘

自动解锁Linux上的加密磁盘

通过使用网络绑定磁盘加密(NBDE),无需手动输入密码即可打开加密磁盘。

对于系统安全来说,防止黑客对数据进行窥探和攻击是很重要的,在Linux系统中统一密钥是一个很好用的工具。使用LUSK对磁盘进行加密有一点不足就是每次系统重启或磁盘重新挂载时,你都必须手动提供密码。

自动解锁Linux上的加密磁盘

服务器安装

用 sudo 安装 Tang:

  1. sudo yum install tang -y

启用 Tang 服务器:

  1. sudo systemctl enable tangd.socket --now

Tang 服务器工作在 80 端口,需加入到 firewalld 防火墙。添加相应的 firewalld 规则:

  1. sudo firewall-cmd --add-port=tcp/80 --perm
  2. sudo firewall-cmd --reload

现在安装好了服务器。

客户端安装

在本例中,假设你已经添加了一个名为 /dev/vdc 的新的 1GB 磁盘到你的系统中。

使用 fdisk 或 parted 创建主分区:

  1. sudo fdisk /dev/vdc

完成以下步骤来安装客户端:

  1. Welcome to fdisk (util-linux 2.23.2).
  2. Changes will remain in memory only, until you decide to write them.
  3. Be careful before using the write command.
  4. Device does not contain a recognized partition table
  5. Building a new DOS disklabel with disk identifier 0x4a6812d4.
  6. Command (m for help):

输入 n 来创建新的分区:

  1. Partition type:
  2. p primary (0 primary, 0 extended, 4 free)
  3. e extended
  4. Select (default p):

按下回车键选择主分区:

  1. Using default response p
  2. Partition number (1-4, default 1):

按下回车键选择默认分区号:

  1. First sector (2048-2097151, default 2048):
  2. Using default value 2048
  3. Last sector, +sectors or +size{K,M,G} (2048-2097151, default 2097151):

按回车键选择最后一个扇区:

  1. Using default value 2097151
  2. Partition 1 of type Linux and of size 1023 MiB is set
  3. Command (m for help): wq

输入 wq 保存更改并退出 fdisk

  1. The partition table has been altered!
  2. Calling ioctl() to re-read partition table.
  3. Syncing disks.

运行 partprobe 通知系统分区表的变化:

  1. sudo partprobe

使用 sudo 安装 cryptsetup 软件包:

  1. sudo yum install cryptsetup -y

使用 cryptsetup luksFormat 命令对磁盘进行加密。当提示时,你需要输入大写的 YES,并输入密码来加密磁盘:

  1. sudo cryptsetup luksFormat /dev/vdc1
  2. WARNING!
  3. ========
  4. This will overwrite data on /dev/vdc1 irrevocably.
  5. Are you sure? (Type uppercase yes):
  6. Enter passphrase for /dev/vdc1:
  7. Verify passphrase:

使用 cryptsetup luksOpen 命令将加密的分区映射到一个逻辑设备上。例如,使用 encryptedvdc1 作为名称。你还需要再次输入密码:

  1. sudo cryptsetup luksOpen /dev/vdc1 encryptedvdc1
  2. Enter passphrase for /dev/vdc1:

加密分区现在在 /dev/mapper/encryptedvdc1 中可用。

在加密的分区上创建一个 XFS 文件系统:

  1. sudo mkfs.xfs /dev/mapper/encryptedvdc1

创建一个挂载加密分区的目录:

  1. sudo mkdir /encrypted

使用 cryptsetup luksClose 命令锁定分区:

  1. cryptsetup luksClose encryptedvdc1

使用 sudo 安装 Clevis 软件包:

  1. sudo yum install clevis clevis-luks clevis-dracut -y

修改 /etc/crypttab,在启动时打开加密卷:

  1. sudo vim /etc/crypttab

增加以下一行:

  1. encryptedvdc1 /dev/vdc1 none _netdev

修改 /etc/fstab,在重启时或启动时自动挂载加密卷:

  1. sudo vim /etc/fstab

增加以下一行:

  1. /dev/mapper/encryptedvdc1 /encrypted xfs _netdev 1 2

在这个例子中,假设 Tang 服务器的 IP 地址是 192.168.1.20。如果你喜欢,也可以使用主机名或域名。

运行以下 clevis 命令:

  1. sudo clevis bind luks -d /dev/vdc1 tang '{"url":"http://192.168.1.20"}'
  2. The advertisement contains the following signing keys:
  3. rwA2BAITfYLuyNiIeYUMBzkhk7M
  4. Do you wish to trust these keys? [ynYN] Y
  5. Enter existing LUKS password:

输入 Y 接受 Tang 服务器的密钥,并提供现有的 LUKS 密码进行初始设置。

通过 systemctl 启用 clevis-luks-askpass.path,以防止非根分区被提示输入密码。

  1. sudo systemctl enable clevis-luks-askpass.path

客户端已经安装完毕。现在,每当你重启服务器时,加密后的磁盘应该会自动解密,并通过 Tang 服务器取回密钥进行挂载。

如果 Tang 服务器因为任何原因不可用,你需要手动提供密码,才能解密和挂载分区。

以上就是良许教程网为各位朋友分享的Linux系统相关内容。想要了解更多Linux相关知识记得关注公众号“良许Linux”,或扫描下方二维码进行关注,更多干货等着你!

良许微信公众号

本文由 良许Linux教程网 发布,可自由转载、引用,但需署名作者且注明文章出处。如转载至微信公众号,请在文末添加作者公众号二维码。
良许

作者: 良许

良许,世界500强企业Linux开发工程师,公众号【良许Linux】的作者,全网拥有超30W粉丝。个人标签:创业者,CSDN学院讲师,副业达人,流量玩家,摄影爱好者。
上一篇
下一篇

发表评论

电子邮件地址不会被公开。 必填项已用*标注

联系我们

联系我们

公众号:良许Linux

在线咨询: QQ交谈

邮箱: yychuyu@163.com

关注微信
微信扫一扫关注我们

微信扫一扫关注我们

关注微博
返回顶部