Linux加密磁盘

> Linux 通过 cryptsetup 工具来操作 dm-crypt，dm-crypt 已经被整合到 Linux 内核中，大部分的主流发行版都已经内置了 cryptsetup 工具，如果你使用的系统没有自带，请安装。

查看cryptsetup版本号：
`cryptsetup --version`

如果没有安装，就安装：
- Debian/Ubuntu：
`sudo apt update && sudo apt install cryptsetup`
- CentOS
`sudo yum install cryptsetup`

## 场景1：加密现有分区
查看磁盘和分区：
`lsblk`

假设要加密的设备是 /dev/sdb1。
首先卸载分区：`umount /dev/sdb1`

因为 LUKS（Linux 硬盘加密标准）的加密头需要在分区的头部位置有 512 字节的大小，我们需要收缩文件系统的大小来给它腾出空间。

先检查文件系统：e2fsck -f /dev/sdb1
收缩文件系统：resize2fs -M /dev/sdb1（可能需要几分钟，取决于分区大小。）

加密分区：
cryptsetup-reencrypt [参数1 参数2 ……] luksFormat --new --reduce-device-size 4096S /dev/sdx1
说明：因为要重新加密整个设备，如果你的分区比较大的话，加密时间会很长）

加密完成后，打开解密分区，并起个名子test1：
cryptsetup open /dev/sdb1 test1

再次检查文件系统
加密以后就不要操作原来的分区了，要操作解密后映射出来的设备，这里是 /dev/mapper/
test1：e2fsck -f /dev/mapper/test1

恢复文件系统大小：
resize2fs /dev/mapper/test1

完成

## 场景2：将新分区设为加密分区
新分区为 /dev/sdb2

首先加密分区
cryptsetup   luksFormat   /dev/sdb2
会要求你输入密码，密码有复杂度要求，必须大于8位，不能是常见密码，否则无法设置成功。

打开解密文件，并为这个加密分区起个名字test1
cryptsetup   open  /dev/sdb2    test1
需要输入前面设置的密码

ls  /dev/mapper/           #此时出现了test1,即为你的加密文件
然后格式化文件系统
mkfs.xfs    /dev/mapper/test1

最后挂载
mount   /dev/mapper/test1  /mnt

## 场景3：创建一个虚拟加密分区
通过创建一个大文件来作为加密分区使用，它的好处是灵活（本质上就是一个文件），可以很容易地复制到其他计算机上继续使用（当然需要密码）。

首先生成一个名为test1的 50GB 大小的文件容器：

fallocate -l 50G test1

然后对文件容器加密：
cryptsetup -c aes-xts-plain64 -s 512 -h sha512 -i 5000 luksFormat test1
它首先会提示设备内的数据将被覆盖，是否确定，输入 YES（大写），然后输入两次密码。
注：test1是前面创建的那个文件路径，这里因为test1就在当前目录，所以没有写路径

参数解释：
- -c –cipher	加密算法
- -s –key-size	密钥大小
- -h –hash	哈希算法
- -i –iter-time	用来对抗暴力破解，值越大暴力破解越困难（在解密时也越耗时）

然后打开解密文件，需要为这个加密分区起个名字mytest1
cryptsetup open test1 mytest1
密码正确的话，你将在 /dev/mapper/ 目录下看到映射设备（mytes1）。

解密后就可以把容器当作普通分区来操作了：
格式化文件系统：
mkfs.ext4 test1

挂载文件系统：
mount /dev/mapper/mytest1 /mnt

## 加密磁盘的永久挂载
建立密码文件
vim   /root/diskpass
内容为你的加密密码

然后添加可执行权限
chmod  600  /root/diskpass

vim   /etc/crypttab
内容如下：
westos     /dev/sdb2   /root/diskpass

vim /etc/fastab
内容如下：
/dev/mapper/test1      /mnt    xfs     defaults    0   0

重启
reboot

## 清除加密
现在不需要加密磁盘了，如何清除加密呢？ 
方法：
1. 删除前面步骤编写的内容
vim  /etc/fstab
vim /etc/crypttab
2. 删除密码文件
rm -fr  /root/diskpass
3. 卸载文件系统
umount   /mnt
4. 关闭解密文件
cryptsetup     close   westos
5. 格式化
mkfs.xfs     /dev/vdb1    -f