1. 环境准备与前提
1.1 硬件与分区需求
在进行基于 LUKS 的磁盘加密前，确保有独立的磁盘分区或可用分区规划好用于加密，并且对该分区有明确的识别信息（如 UUID、设备名）。同时要确认系统已经具备必要的 Linux 内核对 LUKS/cryptsetup 的支持，以及在安装过程或后续操作中有足够的权限执行相关操作。
本教程聚焦于在 Linux 系统中实现磁盘加密，并以 LUKS 为核心标准进行完整的使用指南与实战要点。请在操作前完成 数据备份，以避免意外导致的数据不可恢复风险。
1.2 安装工具与版本要求
要实现磁盘加密，cryptsetup 是核心工具，用于管理 LUKS 容器与映射设备。不同发行版的安装方式不同，但目标都是让系统具备 luksFormat、open、close 等子命令的能力。
在大多数 Debian/Ubuntu 系统上，可以通过以下方式安装必要工具：
sudo apt-get update
sudo apt-get install cryptsetup
安装完成后，使用 cryptsetup --version 验证版本信息，确保后续操作可用。
1.3 系统分区与文件系统选择
如果目标是对非根分区进行加密，通常流程包含先创建 LUKS 容器、再在映射设备上创建文件系统、最后进行挂载与使用。对于根分区的加密，则需要在系统引导阶段完成解锁，通常涉及 /etc/crypttab 与 /etc/fstab 的配置，以及 initramfs 的更新。
在实际环境中，通常建议先在测试分区上演练，再应用到生产分区，以降低对业务系统的影响。
1.4 安全性与密钥管理的基本观念
磁盘加密的核心是把原始数据在静态状态下以密钥保护起来，因此密钥强度、密钥管理与备份都直接影响安全性。强密码、尽量使用 LUKS2（相较于旧版本具备更丰富的特性与更高的安全性）以及合理的密钥管理策略，是实现可靠磁盘加密的关键。
1.5 诊断与排错基础
在进行加密操作前后，建议掌握 基础设备识别与状态查询，包括 lsblk、blkid、cryptsetup status 等命令的使用，以快速定位分区、映射设备以及加密状态。
lsblk -f
blkid
2. 非根分区的 LUKS 加密流程
2.1 设备识别与分区标识
在开始加密前，先确认目标分区的设备标识（如 /dev/sdb1）与分区类型，并确保该分区未被挂载或正在使用。优先使用 UUID 代替设备名以避免重启后识别错误。
使用以下命令可快速确认信息：
sudo lsblk -f
sudo blkid /dev/sdb1
2.2 创建 LUKS 容器
通过 cryptsetup luksFormat 命令创建一个 LUKS2 容器，推荐使用 AES-XTS 加密模式与较强的密钥长度，确保数据在静态状态下得到保护。
sudo cryptsetup luksFormat --type luks2 \/dev/sdb1
系统会提示你输入新的 LUKS 容器的 密钥/密码，请确保记录在安全的位置。
2.3 打开容器并创建文件系统
创建好 LUKS 容器后，需要把它解锁为一个映射设备，通常命名为 secure_disk，随后在映射设备上创建一个普通的文件系统。
sudo cryptsetup open /dev/sdb1 secure_disk
sudo mkfs.ext4 /dev/mapper/secure_disk
2.4 挂载与使用
解锁并创建文件系统后，可以将其挂载到系统中的任意挂载点，以实现数据的读写访问。
sudo mkdir -p /mnt/secure
sudo mount /dev/mapper/secure_disk /mnt/secure
挂载点的选择应符合实际部署和数据分区策略，并确保有合适的权限控制与备份方案。
2.5 持久化解锁（可选：在引导阶段自动解锁）
如果要在引导时自动解锁该非根分区，需要将解锁信息加入系统的 /etc/crypttab，并在 /etc/fstab 中设置自动挂载。
# /etc/crypttab 的示例
# cryptname UUID=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx none luks
secure_disk UUID=$(blkid -s UUID -o value /dev/sdb1) none luks
随后在 /etc/fstab 中添加挂载信息：
# /mnt/secure 的挂载示例
/dev/mapper/secure_disk /mnt/secure ext4 defaults 0 2
最后必须更新 initramfs（若系统需要在引导阶段完成解锁）：
sudo update-initramfs -u
3. 根分区的 LUKS 加密：系统启动时解锁的完整流程
3.1 计划与准备工作
根分区的加密需要在系统启动阶段进行解锁，因此需要在引导时通过 initramfs 读取密钥并解锁映射设备，然后再挂载根文件系统。在开始前务必完成完整备份并考虑对当前系统进行离线演练。
常见的实现路径是：在Live USB/光盘环境中把根分区替换为一个 LUKS 加密的根分区，随后配置 /etc/crypttab、/etc/fstab，并重新生成 initramfs。这样系统在启动时会提示输入解锁口令或使用密钥文件进行自动解锁。
3.2 为根分区创建并使用 LUKS 容器
在目标根分区（如 /dev/nvme0n1p6）上创建 LUKS 容器，并打开映射，以便在映射设备上创建新的根文件系统。
sudo cryptsetup luksFormat --type luks2 /dev/nvme0n1p6
sudo cryptsetup open /dev/nvme0n1p6 cryptroot
3.3 创建根文件系统并迁移数据
在解锁的映射设备上创建新根分区的文件系统，并将现有系统的根数据迁移到新的根分区。此步骤通常需要使用 Live 介质进行离线迁移与 rsync/clone 操作。
sudo mkfs.ext4 /dev/mapper/cryptroot
sudo mkdir -p /mnt/newroot
sudo mount /dev/mapper/cryptroot /mnt/newroot
# 使用 rsync 进行数据迁移示例
sudo rsync -aAXv / --exclude=/mnt/newroot --exclude=/proc --exclude=/sys / /mnt/newroot
3.4 配置引导与初始化阶段解锁
迁移完成后，需要在新根分区中配置 /etc/crypttab、/etc/fstab，并确保引导加载器能够在启动时加载 initramfs，进而实现解锁与根文件系统挂载。
# 伪例：/etc/crypttab
cryptroot UUID=$(blkid -s UUID -o value /dev/nvme0n1p6) none luks
# /etc/fstab 伪例
/dev/mapper/cryptroot / ext4 defaults 0 1
完成后，更新 initramfs 以使改动生效：
sudo update-initramfs -u
3.5 重新引导与测试
在完成上述配置后，重启系统，系统应在启动阶段提示输入解锁口令（或通过密钥文件实现自动解锁），随后进入新的根文件系统。请在首次启动后进行全面的功能测试，确保系统分区、应用与数据完整性没有异常。
4. 自动解锁与密钥管理的高级实践
4.1 使用密钥文件实现开机自动解锁（适用于根分区、或需要无密码启动的场景）
为了在启动时实现无交互的自动解锁，可以使用密钥文件并将其放置在受控路径下，同时将该密钥文件注册到 LUKS 容器中。请确保对密钥文件拥有严格的访问控制。
# 生成密钥文件并设定权限
sudo dd if=/dev/urandom of=/root/keyfile.img bs=1M count=4
sudo chmod 400 /root/keyfile.img
# 将密钥加入到 LUKS 容器
sudo cryptsetup luksAddKey /dev/sdb1 /root/keyfile.img
4.2 将密钥文件配置到 crypttab 并更新 initramfs
在 /etc/crypttab 中指定密钥文件路径，以实现引导阶段的自动解锁。需要后续更新 initramfs。
sudo bash -c 'echo "secure_disk UUID=$(blkid -s UUID -o value /dev/sdb1) /root/keyfile.img luks" >> /etc/crypttab'
sudo update-initramfs -u
4.3 使用密钥管理的可选路径
除了密钥文件，还可以结合系统级安全硬件（如 TPM）或分离的密钥分发策略来提升安全性。此处仅给出基本路径，具体实现需参考发行版文档与硬件特性。
5. 维护、排错与日常要点
5.1 常见状态查询与诊断
在加密磁盘部署后，遇到问题时先通过状态查询确认当前映射设备与分区状态，快速定位问题原因。
lsblk -f
sudo cryptsetup status secure_disk
sudo cryptsetup luksDump /dev/sdb1
5.2 日志与错误排查
系统日志和内核日志是排错的关键来源。可以关注 dmesg、journalctl 相关信息，以发现解锁失败、设备不可用、分区未挂载等问题。
dmesg | grep -i luks
journalctl -u systemd-cryptsetup@cryptroot.service -b
5.3 备份、迁移与长期维护
定期对加密分区中的数据进行备份，并且在需要迁移到新设备时，遵循相同的加密流程进行分区加密与数据迁移。确保关键密钥与密钥文件的备份策略符合企业级安全要求。
# 备份密钥文件示例（需严格保护）
sudo cp /root/keyfile.img /backup/kms/keyfile.img.bak
