新手配置Linux全盘加密LUKS并实现开机自动解密需分三步：先用LUKS2加密目标分区（如/dev/sdb1），再挂载使用，最后通过/etc/crypttab和initramfs配置自动解锁；全程命令清晰、无需图形界面，但须严格校验设备、保管密码及密钥文件。
新手配置Linux全盘加密LUKS并实现开机自动解密，核心是分三步走：先用LUKS加密目标分区，再挂载使用，最后通过系统服务在启动时自动解锁。整个过程不依赖图形界面，命令清晰、可复现，但每一步都需谨慎操作，尤其注意设备识别和密码保管。
一、加密前务必确认设备与环境
这是最容易出错的环节。执行以下检查，避免误清空系统盘：
- 运行 lsblk 和 sudo fdisk -l，明确你要加密的是哪个设备（例如 /dev/sdb1），不是整盘 /dev/sdb，更不能是当前系统盘（如 /dev/nvme0n1p2）
- 确认该分区未被挂载：mount | grep sdb1 应无输出；若已挂载，先 sudo umount /dev/sdb1
- 确保该分区无重要数据——cryptsetup luksFormat 会彻底覆盖原有内容，不可恢复
- 安装工具：sudo apt install cryptsetup（Debian/Ubuntu）或 sudo dnf install cryptsetup（RHEL/Fedora）
二、创建LUKS2加密容器并格式化
推荐使用 LUKS2 格式，它支持 Argon2 密钥派生，抗暴力破解能力更强：
- 执行初始化命令（替换 /dev/sdb1 为你的实际设备）：
sudo cryptsetup luksFormat --type luks2 --pbkdf argon2id --iter-time 5000 --cipher aes-xts-plain64 --key-size 512 /dev/sdb1 - 输入大写 YES 确认，然后设置并验证一个强密码（建议 12 位以上，含大小写字母、数字、符号）
- 解锁映射设备：sudo cryptsetup open /dev/sdb1 mydata（mydata 是你自定义的映射名，仅限小写字母和短横线）
- 格式化映射设备：sudo mkfs.ext4 /dev/mapper/mydata（不推荐 Btrfs，存在兼容性风险）
- 创建挂载点并挂载：sudo mkdir -p /mnt/encrypted && sudo mount /dev/mapper/mydata /mnt/encrypted
三、配置开机自动解密（免手动输密码）
此步骤让系统在启动时自动加载密钥文件解锁磁盘，适用于非根分区（如 /data 或 /home）。关键在于密钥文件的安全存放与权限控制：
- 生成随机密钥文件：
sudo dd if=/dev/urandom of=/etc/luks-keys/mydata.key bs=512 count=4
sudo chmod 0400 /etc/luks-keys/mydata.key - 将密钥添加进LUKS容器：sudo cryptsetup luksAddKey /dev/sdb1 /etc/luks-keys/mydata.key
- 获取设备UUID：sudo blkid /dev/sdb1，复制类似 UUID=xxxx-xxxx 的值
- 编辑 /etc/crypttab，添加一行：
mydata UUID=xxxx-xxxx /etc/luks-keys/mydata.key luks,discard
（discard 对 SSD 启用 TRIM，可选但推荐） - 编辑 /etc/fstab，添加挂载项：
/dev/mapper/mydata /mnt/encrypted ext4 defaults,x-systemd.device-timeout=30 0 2 - 更新 initramfs：
Debian/Ubuntu 执行 sudo update-initramfs -u
RHEL/Fedora 执行 sudo dracut -f
四、验证与安全提醒
重启前建议做一次完整验证：
- 先手动关闭：sudo umount /mnt/encrypted && sudo cryptsetup close mydata
- 重启系统，观察启动日志是否出现 Started Cryptography Setup for mydata
- 启动后检查：lsblk 应显示 /dev/mapper/mydata 已激活，且 mount | grep encrypted 显示已挂载
- 重要提醒：/boot 分区默认未加密，若密钥文件放在其中（或 /etc/luks-keys 未受保护），攻击者可能提取密钥。生产环境建议启用 UEFI Secure Boot，并定期备份 LUKS 头：sudo cryptsetup luksHeaderBackup /dev/sdb1 --header-backup-file /root/sdb1-luks-header.bak
