运行带有加密文件系统的 Web 服务器（全部或部分）

Question 1

如果您想要全盘加密，则必须在启动阶段输入密码，这可能不是您想要的。我建议您使用 luks 创建一个加密分区，并将所有敏感数据放在该分区上。机器启动后，您可以通过 ssh 进入盒子并解锁分区。

至于如何加密，非常简单：

根据需要创建分区

使用 luks 格式化分区：

cryptsetup -c twofish -y luksFormat /dev/sda4

使用 luks 解锁分区：
```
cryptsetup luksOpen /dev/sda4 encwww
```
使用您选择的 fs 格式化加密分区：
```
mkfs.ext3 /dev/mapper/encwww
```
您已完成并可以安装/dev/mapper/encwww

要在重启后再次解锁分区，您需要执行以下操作：

cryptsetup luksOpen /dev/sda4 encwww

然后挂载分区。

Answer

如果您想要全盘加密，则必须在启动阶段输入密码，这可能不是您想要的。我建议您使用 luks 创建一个加密分区，并将所有敏感数据放在该分区上。机器启动后，您可以通过 ssh 进入盒子并解锁分区。

至于如何加密，非常简单：

根据需要创建分区

使用 luks 格式化分区：

cryptsetup -c twofish -y luksFormat /dev/sda4

使用 luks 解锁分区：
```
cryptsetup luksOpen /dev/sda4 encwww
```
使用您选择的 fs 格式化加密分区：
```
mkfs.ext3 /dev/mapper/encwww
```
您已完成并可以安装/dev/mapper/encwww

要在重启后再次解锁分区，您需要执行以下操作：

cryptsetup luksOpen /dev/sda4 encwww

然后挂载分区。

Question 2

cryptsetup 和 dm-crypt 在标准 Linux 发行版上不可用，而且这是一个相当奇特的解决方案，您应该尝试以正常方式执行此操作：

modprobe loop
modprobe cryptoloop
modprobe aes

dd if=/dev/urandom of=/yourContainerFile bs=`expr 1024 \* 1024 \* 1024` count=yourSizeInGigaBytes

losetup -e aes-256 /dev/loop0 /yourContainerFile

mkfs.ext3 /dev/loop0

现在您可以将 /dev/loop0 挂载到任何您喜欢的地方 - 强加密，正确完成；您甚至可以配置您的 fstab，以允许从必须在启动时插入的 USB 记忆棒读取加密密钥...更加灵活和安全 --> 永远不要遵循使用“twofish”或类似加密的指南...该算法尚未完全分析，没有人知道它是否安全。

哦，还有：如果你想要超出秘密机构范围和权力的安全：使用

/dev/random

Linux 的熵收集守护进程虽然提供了统计上的“良好”值，但是速度非常慢。

如果你真的很偏执，那就买一个能够接收和测量宇宙背景辐射的设备，把它连接到你的电脑上，让它写到/dev/random :-D

Answer