1. 原理与核心概念
1.1 加密原理与分区映射
在 Linux 系统中，分区级别或分卷级别的磁盘加密通常通过一个称为 LUKS 的容器来实现。用户在开机或挂载时输入口令后，系统会解锁一个映射设备，将真实的物理分区映射到一个虚拟设备，例如 /dev/mapper/mydata，随后对该映射设备再进行文件系统创建与访问。数据在磁盘上的存储以密文形式存在，只有在解锁后才能读写，这为静态数据提供了有效的静态防护。使用 LUKS 可以在同一磁盘上对多个分区进行独立加密，提升灵活性与可控性。要点在于密钥以容器形式被保护，解锁后才会暴露出可直接访问的块设备。你可以将需要保护的分区放入 LUKS 容器，并在 /dev/mapper 下得到一个安全的、未加密的工作区间。分区的加密层与文件系统分离，解密过程只在需要时发生。
1.2 密钥派生函数与密钥管理
LUKS 的安全性很大程度上取决于密钥的派生函数（KDF）与参数。旧版本的 LUKS1 使用 PBKDF2 作为默认的 KDF，侧重对称性密钥的强度与计算开销，而 LUKS2 引入了更先进的 KDF 方案，如 Argon2id，这在对抗 GPU 暴力破解时更具优势。密钥材料通过 KDF 转换为主密钥，后续对容器的保护都依赖于这个主密钥，因此合理配置迭代次数和内存参数至关重要。通过 cryptsetup 的参数可以显式指定 KDF 类型与参数，例如 --pbkdf 或 --iter-time 来平衡安全性与解锁速度。如果硬件支持，Argon2id 将提供更高的抗暴力破解能力，同时也可能带来更高的开销。
1.3 硬件加速与性能影响
现代 CPU 常具备 AES-NI 等指令集，可显著提升对称加密的性能。开启加密的分区在真实负载下的性能损失通常较小，尤其在使用硬件加速时，IO 请求的吞吐量与延迟会保持在可接受范围内。需要关注的点包括：加密算法、密钥长度、KDF 的选定以及系统整机的 IO 带宽，这些都会直接影响解密/加密时的实际响应时间。通过实际测试（如 fio/bonnie++ 等工具）可以获得更具体的性能曲线。
在实际部署中，若选择 LUKS2 的 Argon2id KDF，同时开启合适的迭代时间与内存参数，通常能在安全性和性能之间取得较好平衡。建议在新系统上优先采用 luksFormat 的 --type luks2 与 Argon2id 组合，再根据硬件特性进行微调。
2. 实操：从零开始在 Linux 上用 LUKS2 加密分区
2.1 规划与准备
在动手前，需要对数据分区进行清晰的规划，确认哪些分区需要加密，哪些保留为明文。将根分区或系统分区单独处理会涉及启动初始化镜像（initramfs）对密钥的解锁，这会增加启动时的复杂度。合理的做法是先在可控环境中演练，确保 BIOS/UEFI、引导分区和 initramfs 能正确解锁目标分区。备份重要数据并确保有密钥备份是关键前提。
2.2 创建并配置加密容器
要把某个未使用的分区变成受保护的容器，可以使用 cryptsetup 将其封装成 LUKS 容器，并在需要时解锁映射。以下命令演示了在分区 /dev/nvme0n1p3 上创建一个 LUKS2 容器，并指定默认的密码作为密钥材料。请根据实际设备名替换参数。
sudo cryptsetup luksFormat --type luks2 /dev/nvme0n1p3
sudo cryptsetup open /dev/nvme0n1p3 mydata
解锁后，系统会在 /dev/mapper 下创建映射设备 /dev/mapper/mydata，你可以在此设备上创建文件系统。若 Choose AES-XTS 加密，确保内核支持硬件加速。随后对映射设备创建并挂载文件系统：mkfs.ext4 /dev/mapper/mydata，以及 mount /dev/mapper/mydata /mnt/data。
2.3 打开、创建文件系统并挂载
完成基本解锁后，按常规步骤创建文件系统并挂载到希望的位置。在实际场景中，建议为加密卷分配固定挂载点和合适的权限策略，以确保数据的正确性和安全访问。下面是一组示例命令，演示从解锁到挂载的完整流程。
sudo cryptsetup open /dev/nvme0n1p3 mydata
sudo mkfs.ext4 /dev/mapper/mydata
sudo mkdir -p /mnt/data
sudo mount /dev/mapper/mydata /mnt/data
为了在引导时实现自动解锁，你需要让系统在启动阶段能够访问解锁密钥。这通常通过配置 /etc/crypttab、/etc/fstab 与 initramfs 完成。确保 crypttab 指向正确的分区和映射名称，并在 fstab 中按需要设置自动挂载点。
2.4 设置开机自动解密
实现开机自动解密有多种方案，常见做法是使用 crypttab 与 initramfs。在/etc/crypttab 中登记你的容器、分区UUID以及解锁密钥的位置，随后更新 initramfs 以便在引导阶段执行解锁。如果使用 systemd-cryptsetup，亦可通过 systemd 单元实现开机解锁。以下给出简化示例：
# /etc/crypttab 示例
mydata UUID=123e4567-e89b-12d3-a456-426614174000 none luks
# 更新 initramfs 以应用变更
sudo update-initramfs -u
随后在 /etc/fstab 中挂载解锁后的映射设备：/dev/mapper/mydata /mnt/data ext4 defaults 0 2。这使得系统重启后能够自动解锁并挂载数据卷。
3. 性能与安全要点
3.1 密钥派生与参数优化
在实际部署中，选择合适的 KDF 与参数对安全性与解锁速度至关重要。LUKS2 允许显式选择 Argon2id 作为 KDF，并通过 --iter-time 调整迭代速度，以提升对抗暴力破解的能力，同时保持可接受的解锁时间。若硬件对 Argon2id 的实现友好，优先考虑该选项，并结合整体系统性能进行测试。
sudo cryptsetup luksFormat --type luks2 --pbkdf argon2id --iter-time 6000 /dev/nvme0n1p4
如果想要回退到更保守的设置，也可以使用 PBKDF2 等历史方案，但应权衡更新后的安全性。在生产环境中，务必对方案进行基准测试与安全性评估，避免因默认参数导致潜在风险。
3.2 容器与文件系统的选择
加密分区并非直接决定文件系统的类型，你可以在解锁后的映射设备上选择 ext4、XFS、Btrfs 等文件系统，以满足性能、快照、卷管理等需求。对大部分场景，ext4 作为稳健、兼容性高的选项仍然是优选，而对需要大量快照与子卷的场景，Btrfs 可能带来更灵活的管理。
值得注意的是，开启加密卷并不会改变底层设备的写放大或写放大效应，但会影响随机 IO 的延迟特征，因此在部署时应结合实际工作负载进行评估。
3.3 备份、密钥管理与灾难恢复
密钥和头信息的保护是灾难恢复的核心。定期备份 LUKS header 与密钥材料的副本至安全位置，以防卷损坏导致无法解锁。你可以使用 cryptsetup 的 headerBackup 功能完成头信息备份，并在必要时进行恢复。多点备份并把访问密钥分发给可靠的运维人员，是提高可用性和安全性的有效组合。
# 备份 LUKS header
sudo cryptsetup headerBackup /dev/nvme0n1p3 --header-backup-file /root/luks-header.backup
# 恢复示例
sudo cryptsetup headerRestore /dev/nvme0n1p3 --header-backup-file /root/luks-header.backup
另外，考虑将密钥分离存储，例如一个主密钥来自本地硬件令牌，另一个密钥来自网络端点，结合多因素认证可以提升整体安全性。 在任何情况下都不要将密钥明文长期暴露在系统中，应通过受控渠道进行访问。
4. 常见问题与故障排除
4.1 启动阶段无法解密/忘记密码
遇到启动阶段无法解密的情况时，首先确认密钥是否正确、联合的头信息是否完好。如果丢失口令且没有头信息备份，将无法恢复数据，此时可以尝试从备份头信息或备用密钥中进行恢复。保持至少一个受控备份点是最基本的灾难准备。
可执行的排错路径包括：检查 crypttab、fstab 配置是否正确、initramfs 是否已更新，以及头信息是否被损坏。以下命令可用于快速检查容器状态：cryptsetup status mydata，以及查看 /proc/crypto 以确认内核加密算法是否就绪。
sudo cryptsetup status mydata
grep -iE 'aes|xts' /proc/cpuinfo
4.2 数据迁移与盘替换
当需要迁移数据到新磁盘时，通常的思路是保持同一容器结构，复制解锁后的映射内容，然后在新设备上重新创建容器并导出数据。在迁移过程中，应优先保留原设备的头信息备份，以便在新磁盘上进行恢复。cryptsetup-recover 或头信息还原流程将成为核心步骤。
# 在新磁盘上恢复头信息并创建新容器
sudo cryptsetup headerRestore /dev/nvme1n1p1 --header-backup-file /root/luks-header.backup
sudo cryptsetup luksFormat --type luks2 /dev/nvme1n1p1
sudo cryptsetup open /dev/nvme1n1p1 mydata
