Linux分卷是否支持加密

Linux下对分区进行加密是完全可行的，而业界最主流的方案非LUKS（Linux Unified Key Setup）莫属。该标准为磁盘分区提供透明的加密机制——加密后的分区在挂载后使用起来与普通分区无异，当然必须先输入正确的密码进行解锁。接下来将详细介绍具体的实操步骤。

1. 安装必要工具

   大多数Linux发行版默认未安装 cryptsetup，需要手动安装：

   sudo apt-get install cryptsetup

   如果是其他包管理器，比如 yum、dnf 或 pacman，思路一样，安装这个包即可。

2. 创建加密卷

   首先，将目标分区格式化为LUKS加密容器：

   sudo cryptsetup luksFormat /dev/sdXY

   其中的 /dev/sdXY 代表你要加密的分区（例如 /dev/sda3）。执行命令后会提示确认，然后需要输入并验证加密密码——请注意，密码丢失后无法恢复，务必妥善保管。

3. 打开加密卷

   创建完成后，加密容器仅仅是一个外壳，内部为空，必须先“打开”才能写入数据：

   sudo cryptsetup luksOpen /dev/sdXY my_encrypted_volume

   输入之前设置的密码后，系统会在 /dev/mapper 下创建一个名为 my_encrypted_volume 的逻辑设备。此后，对该逻辑设备的所有读写操作都将由内核自动进行加解密。

4. 格式化加密卷

   现在可以像操作普通硬盘一样，在加密卷上创建文件系统。例如格式化为ext4：

   sudo mkfs.ext4 /dev/mapper/my_encrypted_volume

   当然，也可以选择xfs、btrfs等其他文件系统，根据个人需求决定。

5. 挂载加密卷

   格式化完成后，将其挂载到某个目录即可正常使用：

   sudo mount /dev/mapper/my_encrypted_volume /mnt/encrypted

   请确保提前创建好挂载点目录 /mnt/encrypted。

6. 配置自动挂载（可选）

   如果需要每次开机时自动挂载加密卷（仍需输入密码解锁），则需编辑两个配置文件：

   首先在 /etc/crypttab 中添加一行，指定需要解密的加密分区。然后在 /etc/fstab 中添加对应的映射设备挂载选项。具体配置方法可在网上找到大量示例，但需确保两个文件中的映射名称和挂载路径保持一致。

完成上述步骤后，你的敏感数据将获得硬件级别的加密保护。在日常使用中，只需养成每次开机多输入一次密码的习惯，即可在安全性和便利性之间取得良好平衡。