生产环境Linux磁盘全盘加密与远程解锁需采用LUKS2格式，显式指定aes-xts-plain64、512位密钥、argon2id及5000–7500ms迭代；初始化后立即离线备份header；通过/etc/crypttab结合密钥文件或Clevis+Tang实现安全自动解密，禁止单点密钥依赖，须配置多槽密钥、定期轮换及应急恢复介质。
生产环境配置Linux磁盘全盘加密与远程解锁，核心是兼顾安全性、可用性与运维可控性。不能只设密码就上线，也不能为图方便牺牲密钥保护机制。
加密方案选型与初始化
必须使用LUKS2格式，禁用LUKS1。关键参数需显式指定：
- 加密算法：aes-xts-plain64（禁用cbc、ecb等弱模式）
- 密钥长度：512位（低于256位不建议用于生产）
- PBKDF算法：argon2id（替代pbkdf2，抗GPU暴力破解）
- 迭代时间：5000–7500毫秒（日志盘等低频解锁场景可设7500ms）
- 执行命令示例：
sudo cryptsetup luksFormat --type luks2 --pbkdf argon2id --iter-time 7500 --cipher aes-xts-plain64 --key-size 512 /dev/sdb1
初始化后立即备份header：
sudo cryptsetup luksHeaderBackup /dev/sdb1 --header-backup-file /root/sdb1-header.bak
该文件须离线保存，不可留在同一台服务器上。
自动解密与挂载配置
避免每次重启手动输密，但不采用明文密码硬编码方式。推荐组合策略：
- 主解密方式：通过/etc/crypttab绑定UUID与密钥来源
例如：secure-data UUID=xxxx-xxxx none luks,discard（使用空第三列表示交互式输入） - 备用密钥槽：添加一个密钥文件作为第二因素
生成：dd if=/dev/urandom of=/etc/luks/keyfile bs=512 count=4 && chmod 0400 /etc/luks/keyfile
绑定：cryptsetup luksAddKey /dev/sdb1 /etc/luks/keyfile
再将该路径填入/etc/crypttab第三列 - 对应fstab条目需声明依赖：
/dev/mapper/secure-data /mnt/data ext4 defaults,x-systemd.device-timeout=30 0 2
远程自动解锁（NBDE）部署
适用于无KVM/IPMI、需无人值守启动的服务器，依赖Clevis+Tang架构：
- Tang服务端部署在可信内网（如跳板机或专用密钥服务器）：
yum install tang -y && systemctl enable --now tangd.socket
确认端口开放（默认80或自定义7500），并加入firewalld规则 - 客户端启用网络引导：
修改/etc/default/grub，在GRUB_CMDLINE_LINUX中追加：
rd.neednet=1 ip=dhcp（DHCP环境）或ip=192.168.1.10::192.168.1.1:255.255.255.0::eth0:none（静态IP） - 更新initramfs：
yum install clevis-dracut -y && clevis luks bind -d /dev/sdb1 tang '{"url":"http://tang-server:7500"}' && dracut -f -v
注意：Tang服务器必须保障物理或网络层安全，不可暴露于公网；若使用多网卡，需在ip=参数中明确指定网卡名。
密钥管理与应急兜底
生产系统严禁单点密钥依赖：
- 至少启用两个独立密钥槽：一个用于日常运维密码，一个绑定密钥文件或Tang
- 定期轮换密码：cryptsetup luksKillSlot /dev/sdb1 0 && cryptsetup luksAddKey /dev/sdb1（先删旧槽再加新密）
- 准备紧急恢复介质：含完整header备份、解密密钥、及最小Live系统（如Rescue CD），确保断网/服务宕机时仍可人工介入
- 禁用discard以外的TRIM相关选项，SSD环境启用discard需确认固件支持且不影响性能
