1. 原理与基础
本篇内容正是围绕 Linux分区如何加密 的原理与实操展开，属于从原理到实操的完整教程性质。通过 LUKS（Linux Unified Key Setup）配合 dm-crypt，实现分区级别的对称加密，确保数据在静态和运行时都具备防护能力。数据在写入磁盘前被加密、读取时再解密，形成透明的保护层，提升数据安全性。
与未加密分区相比，密钥管理、解锁机制（口令、密钥文件或二者结合）以及对称密码学算法的选择，是实现稳定、可维护加密的关键。dm-crypt 提供设备映射层，将被加密的分区映射为一个新的设备节点，供文件系统挂载使用。
1.1 LUKS 与 dm-crypt 的工作原理
在 LUKS 的结构中，密钥被分成若干个密钥槽，默认提供多个槽位以支持密钥轮换和恢复策略。分区内部保存的元数据指示解锁所需的参数，而实际密钥通常通过 口令 或 密钥文件 获取。解锁后，/dev/mapper/ 下会出现一个新的映射设备，文件系统在其上挂载。
需要理解的要点包括：全盘加密 与 分区加密 的区别、密钥管理策略、以及 引导阶段的解锁流程。LUKS 的设计还支持多种加密算法、密钥长度与多重密钥槽的组合，以提升灵活性和安全性。
1.2 全盘加密与分区加密的取舍
全盘加密（FDE）通常在引导分区之外的分区上实现，开机时需要输入口令或读取密钥文件来解锁根分区，确保系统启动阶段就受保护。分区加密则把保护范围限定在特定数据分区，通常用于数据分区、工作区或数据库分区，但在某些场景下需要更多的引导前配置。
在实践中，需要权衡：引导分区的加密需求、密钥的备份与轮换机制、以及对引导加载程序（如 GRUB、initramfs）的支持程度。下面进入实操部分，将原理转化为可执行的步骤。
2. 实操前的准备
在动手进行分区加密之前，必须完成充分的准备工作，以降低风险并确保可回滚性。数据备份、分区布局的确认、以及明确的 密钥管理计划 是基础。未备份的数据在加密过程中存在不可逆的丢失风险。
同时，判定 /boot 是否需要单独分区、引导时解锁的方式、以及系统发行版对 LUKS 的原生支持程度。此阶段应形成书面的分区方案与密钥策略，以便后续执行时有清晰的执行路径。
2.1 备份与分区规划
开始前对当前系统执行全量备份，并记录当前分区表和 UUID，以便回滚。对于新系统，提前规划好分区的大小、文件系统类型和加密分区位置，可以减少后续迁移的复杂度。分区表类型、分区号及 文件系统需要在设计阶段明确并在文档中留存。
此外，准备好备用密钥或密钥文件，并确保它们在物理上安全存放。密钥的离线备份与 异地备份 是常见的安全实践，避免单点故障导致密钥不可恢复。
2.2 选择加密策略与引导分区设计
常见设计包括在 /boot 之外建立一个未加密的引导分区，用于存放内核与 initramfs；引导阶段完成后，通过 dm-crypt 解锁根分区，完成系统挂载。也有场景选择将 /boot 也放入加密区域，但需要自定义引导流程。引导分区容量应足够容纳内核、initramfs 与引导工具。
在确定策略时，需关注发行版对 LUKS 的支持、initramfs 的更新流程，以及开机解锁的交互方式。下文将提供从零到一的具体实现路径与示例。
3. 从零到一：完整教程
3.1 使用安装器在新系统中实现分区加密的思路
对于新系统的分区加密，通常可通过安装器提供的加密选项来实现，安装过程会自动创建 /boot 与 LUKS 容器，并在 initramfs 中集成解锁入口。这种方案对初学者友好，同时确保系统启动流程的稳定性。
无论采用哪种路径，核心要点都是：确保 /boot 不被加密、选用合适的加密算法和密钥策略、以及在安装完成后进行 initramfs 更新，以使引导解锁能够正确工作。
3.2 手动实现分区加密（现有系统的迁移或自定义分区方案）
如果需要对现有系统的某个分区进行加密，或者使用自定义分区方案，需要执行以下核心步骤：创建加密容器、打开容器、创建文件系统、挂载分区，并将系统在启动时自动解锁。关键流程包括 加密分区、解锁映射、修改 /etc/crypttab、修改 /etc/fstab、更新 initramfs。以下示例展示核心命令框架，供参考与学习。
# 假设要加密的分区为 /dev/sdb2，根分区在此分区之外
# 1) 使用 LUKS 格式化分区
sudo cryptsetup luksFormat /dev/sdb2# 2) 打开 LUKS 容器，创建映射名称 cryptroot
sudo cryptsetup luksOpen /dev/sdb2 cryptroot# 3) 为解锁后的映射创建文件系统
sudo mkfs.ext4 /dev/mapper/cryptroot# 4) 将根分区以及引导分区挂载到新系统的根目录（示例，实际需结合具体挂载点）
sudo mount /dev/mapper/cryptroot /mnt# 5) 生成并挂载新的 fstab（在实际环境中需谨慎操作）
sudo bash -lc 'echo "/dev/mapper/cryptroot / ext4 defaults 0 1" >> /mnt/etc/fstab'# 6) 配置 crypttab 以在引导时解锁
sudo bash -lc 'echo "cryptroot /dev/sdb2 none luks" >> /mnt/etc/crypttab'# 7) 更新 initramfs（不同发行版命令可能略有不同）
sudo chroot /mnt update-initramfs -u# 8) 重新引导系统，进入解锁界面
以上步骤展示了核心流程，实际操作需结合具体发行版的工具链与引导流程。若原生安装器不提供直接加密选项，可以在系统安装完成后通过上述手动方式对分区进行加密，并确保引导阶段能够通过解锁容器正常启动。关键风险点包括数据丢失、密钥遗失和引导失败，应在执行前完成完整备份与演练。
如需对 Swap 也进行加密，通常可将其放入一个独立的 LUKS 容器内，或使用加密的 swap 文件实现。下面给出一个常用的 Swap 加密思路与示例配置：
# 将现有 swap 分区改为加密交换
sudo swapoff -a
sudo cryptsetup luksFormat /dev/sdb3
sudo cryptsetup luksOpen /dev/sdb3 swap_crypt
sudo mkswap /dev/mapper/swap_crypt
sudo sed -i 's|^/dev/.*/swap.*|/dev/mapper/swap_crypt none swap sw 0 0|' /etc/fstab# 重新启用交换
sudo swapon /dev/mapper/swap_crypt
在执行上述步骤时，应确保对 /etc/crypttab、/etc/fstab 及 initramfs 的配置保持一致性，并在重启前完成一次完整的系统检查，以避免引导时的加解锁失败。
4. 安全性与维护要点
4.1 键管理与备份
密钥管理是分区加密长期可用性的核心。为 LUKS 设置多密钥槽、定期轮换密钥、以及对密钥进行离线备份，是常见的最佳实践。将主密钥备份到与系统分离的安全位置，可以在口令遗失时提供快速恢复能力。
备份策略应覆盖：密钥文件的离线副本、口令的纸质备份以及对分区结构的完整文档。务必确保备份的物理安全与访问控制，避免单点故障带来的不可逆损失。
4.2 维护与恢复
日常维护时，定期更新内核与 initramfs，确保在引导阶段能正确完成对加密容器的解锁。若系统发生崩溃，需要具备可用的救援方案，且能够在救援环境下访问密钥。通过 Live USB/救援模式验证密钥与分区状态，是常见的演练步骤。
在需要时，测试 “救援模式” 或现场环境的解锁流程，可以帮助排查加解锁失败的原因，并确保在灾难场景下能够恢复访问权限。确保文档化的密钥与分区信息可在需要时快速定位与使用。
