Linux加密备份配置目录需先打包再加密：zip -e适合快速单次操作，tar+gpg -c推荐长期保存，支持AES-256；务必排除敏感子目录，严格管理密码与文件生命周期。
Linux 打包并加密重要配置目录，核心是两步：先打包成归档文件，再用强加密算法保护内容。不建议直接对目录设权限（如 chmod 700）来“替代加密”，那只是访问控制，无法防止磁盘被物理窃取或挂载后读取原始数据。
用 zip + 密码一步完成（最简常用）
适合单次快速操作，密码交互输入，安全性中等，兼容性好（Windows/macOS 也能解密）：
- 安装 zip（若未装）：sudo apt install zip（Debian/Ubuntu）或 sudo dnf install zip（Fedora/RHEL）
- 执行加密打包：zip -e config-secure.zip /etc/nginx/ /etc/ssh/
- 回车后会提示两次输入密码——必须一致，且务必记牢；-e 表示启用交互式密码，比 -P 明文传参更安全
- 验证是否成功：unzip -l config-secure.zip 可列出文件，但不会解密内容；尝试解压时会要求输入密码
用 tar + gpg 加密（推荐长期保存）
生成 .tar.gz.gpg 文件，基于 GnuPG 对称加密，AES-256 级别，密码强度高，且支持密钥管理扩展：
- 打包并加密一行完成：tar -czf - /etc/systemd/ /etc/cron.d/ | gpg -c --cipher-algo AES256 > configs-backup.tar.gz.gpg
- 执行后同样交互输入密码；--cipher-algo AES256 明确指定算法，避免默认弱算法
- 解密还原：gpg -d configs-backup.tar.gz.gpg | tar -xzf - -C /tmp/restored
- 注意：gpg 会缓存密码（默认10分钟），如需立即清空可运行 gpgconf --kill gpg-agent
排除敏感子目录（避免打包无用或危险内容）
配置目录常含临时文件、日志或密钥，打包前应过滤：
- 例如备份 /etc 但跳过缓存和运行时数据：tar -czf - /etc --exclude=/etc/udev/rules.d/99-local.rules --exclude=/etc/ssl/private/ | gpg -c > etc-safe.tar.gz.gpg
- --exclude= 后路径以 /etc 为基准，不加开头斜杠易失效；多个排除项可重复写
- 先试运行不压缩的列表：tar -cf - /etc --exclude=/etc/ssl/private/ | tar -t | head -20，确认要打包的内容准确
额外提醒：密码与文件生命周期管理
加密本身有效，但真正决定安全的是人对密码和文件的处理：
- 加密后立即删除原始未加密归档（如有）：rm -f uncompressed.tar.gz
- 不要把密码存在同目录下的 README.txt 或 shell 历史里；可用 gpg --symmetric --cipher-algo AES256 note.txt 单独加密备忘
- 定期更新密码、重新加密归档；尤其在配置变更频繁时（如证书轮换后）
- 若需多人协作，优先考虑 GPG 非对称加密（分发公钥），而非共享同一密码
