Linux分卷加密操作指南

在 Linux 环境下，对磁盘分区进行加密时，LUKS（Linux Unified Key Setup）几乎是最优解。这套工具成熟稳定、广受信赖，能确保你的数据安全无忧。操作流程其实并不复杂，下面我们逐步拆解，从创建加密分区到实现自动挂载，一次性讲清楚。

创建加密分区

开始操作前，需要先准备一块“空白区域”——也就是一个未格式化的分区。如果手头没有现成的，可以用 fdisk 或 parted 这类分区工具划出一块空间。

sudo parted /dev/sdX mkpart primary 0% 10GiB

接下来便进入核心加密步骤。使用 cryptsetup 工具将刚创建的分区转化为加密卷：

sudo cryptsetup luksFormat /dev/sdXY

这里的 /dev/sdXY 就是你要加密的分区。执行后系统会要求你设置一个密码——必须是强密码，并且要牢牢记在心里，因为每次使用该分区都需要用它来解锁。

分区加密完成后，只是上了锁，尚未打开。需要通过 luksOpen 将其映射到一个设备名称上：

sudo cryptsetup luksOpen /dev/sdXY encrypted_partition

此时，你可以像操作普通硬盘一样，在这个映射出来的设备上创建文件系统。通常推荐使用 ext4 格式：

sudo mkfs.ext4 /dev/mapper/encrypted_partition

测试完成后或暂时不再使用时，记得关闭这个映射：

sudo cryptsetup luksClose encrypted_partition

挂载加密分区

想要实际使用加密分区？先为它准备一个“挂载点”——即一个空目录：

sudo mkdir /mnt/encrypted_partition

然后执行挂载操作：

sudo mount /dev/mapper/encrypted_partition /mnt/encrypted_partition

这样一来，你就可以正常读写数据了。

自动挂载加密分区

每次重启都要手动输入密码、敲命令挂载，实在繁琐。让系统开机自动完成才是理想方案。这需要配置两个关键文件：/etc/crypttab 和 /etc/fstab。

首先编辑 /etc/crypttab，告诉系统哪些设备需要在启动时解锁：

sudo nano /etc/crypttab

添加一行配置：

encrypted_partition /dev/sdXY none luks

接着编辑 /etc/fstab，定义挂载点：

sudo nano /etc/fstab

添加一行：

/dev/mapper/encrypted_partition /mnt/encrypted_partition ext4 defaults 0 0

大功告成。下次启动系统时，引导过程中会弹出密码输入框，验证通过后即可自动完成挂载。

安全性考虑

加密只是第一步，后续的维护才是保障数据安全的关键。以下几点值得特别注意：

• 密钥和密码不要存放在容易被发现的地方。
• 定期更换密钥——即便密码再复杂，长期不换也存在泄露风险。
• 务必备份 LUKS 头部区域和密钥。如果头部损坏，整个加密卷将无法恢复。
• 备份要存放在不同的物理位置，不要和加密卷放在同一块硬盘中。

以上流程覆盖了 Linux 下 LUKS 加密分区操作的完整步骤。实际部署时，可根据具体环境调整分区大小、文件系统类型或加密参数。掌握了这套方法，你的数据安全感将直接拉满。