当设备插入且没有错误或挂在启动时（如果不存在）时，自动安装 LUKS 加密的外部 USB

Question 1

只是一个快速的想法...

也许用于udev启动脚本/应用程序，为您的安装点创建目录，然后执行所有 cryptsetup 操作。该脚本可能使用 USB 驱动器中的密钥。

尝试在不使用 fstab 的情况下完成所有操作。

（抱歉，我无法评论你的问题）。

Answer

只是一个快速的想法...

也许用于udev启动脚本/应用程序，为您的安装点创建目录，然后执行所有 cryptsetup 操作。该脚本可能使用 USB 驱动器中的密钥。

尝试在不使用 fstab 的情况下完成所有操作。

（抱歉，我无法评论你的问题）。

Question 2

我想出了一个解决方案，它几乎可以满足我的要求。

我建议在备用设备上尝试此操作，这样您的数据就不会面临风险

首先要了解的是如何systemd-automount工作。它不会在插入设备时打开并安装设备，而是在访问时打开和安装设备。理解这一点会使设置更容易理解。

第二件事要注意的是，文档（甚至一些实用程序）尚未更新systemd。

考虑到这两件事，您应该知道systemd扫描/etc/crypttab和并根据需要/etc/fstab创建mount、automount和单位。service这些可以在以下位置找到：/run/systemd/generator/

以下大多数命令都需要sudo访问权限。

准备

当您使用密钥文件解锁 LUKS 容器时，自动挂载效果最佳。

虽然与此问题没有直接关系，但 LUKS 加密 USB 驱动器不需要包含分区。事实上，建议是创建一个原始加密设备（需要引用）

您可以看到当前的键槽，并且最好备份标头。

cryptsetup luksDump /dev/sdX

cryptsetup luksHeaderBackup --header-backup-file /root/<name>-header-backup /dev/sdX

然后创建并添加新的密钥文件

dd if=/dev/urandom of=/root/<name>-keyfile bs=512 count=1
chmod 0400 /etc/cryptsetup-keys.d/crypt-backup.key
cryptsetup luksAddKey /dev/sdX /etc/cryptsetup-keys.d/crypt-backup.key

我有一个密码和密钥文件，这样我就可以在家中自动安装我的设备，但仍然可以在我不想与之共享密钥文件的其他计算机上访问它们。

我发现真正有用的下一件事是向 luks 标头（以及可选的文件系统）添加一个标签。这对于 luks v2 来说是可能的，并且在设备打开（解密）之前，标签对 systemd 是可见的。

我使用蓝/绿备份策略，并通过使用相同的标签标记两个外部驱动器，我可以将它们安装在同一位置。由于为中的每个条目创建了一个安装单元fstab，因此条目必须是唯一的。 LUKS 标题标签是我发现唯一可以执行此操作的地方。

# cryptsetup config /dev/sdX --label <label>
cryptsetup config /dev/sda --label backup

# optional: also label the containing filesytem (must be open)
# e2label /dev/mapper/<label> <fs-label>
e2label /dev/mapper/backup fit

请注意，当不使用分区时，它是/dev/sdX，而不是。/dev/sdX1

设置

虽然/etc/crypttab先列出然后再列出是有意义的/etc/fstab（因为这是您使用它们的顺序），但 systemd 是反向工作的。当您尝试访问挂载点时，它会查找fstab并找到关联的文件系统。当它看到它是/dev/mapper/某物时，它就会查看crypttab。

LABEL虽然您可以使用除在中识别驱动器之外的其他方法，但除了在中crypttab使用之外，我找不到任何其他方法可以自动安装。/dev/mapper/fstab

# /etc/crypttab
backup LABEL=backup                              /etc/cryptsetup-keys.d/crypt-backup.key luks,nofail

这以您要用于加密驱动器的名称开头，在此示例中为“backup”。然后你必须识别该设备。避免使用/dev/sdX类型标识符，因为这些标识符可能会根据您可能插入或未插入系统的其他内容而改变。UUID是唯一标识设备的好方法，但正如我之前所说，我希望以相同的方式安装多个设备，因此我使用LABEL.然后，指定密钥文件的位置，或者none您想要使用密码。最后，luks将其识别为 luks 设备的选项，nofail以便该设备将被通缉但不是必需的在启动时。

# /etc/fstab
/dev/mapper/backup /mnt/backup ext4   noatime,users,nofail,x-systemd.device-timeout=100ms,x-systemd.automount,x-systemd.idle-timeout=20min  0  0

我已经讨论过使用的必要性/dev/mapper/backup，然后是/mnt/backup需要存在的挂载点，以及文件系统类型。现在选项...

首先，noauto，并且auto不要与结合做任何事情x-systemd.automount。我说有些文档已经过时了，nofail如果你找不到，man fstab但这就是你想要使用的。同样，如果设备不存在，它会阻止启动失败。在我的系统上，如果需要设备但未找到，则会出现 90 秒超时，但是如果不小心（可能），您可能会完全搞砸正常的启动过程并需要恢复磁盘。

users允许任何用户安装和卸载设备。通常，我会user这样设置，当我是mount一个设备时，我也可以umount不使用sudo，但就像systemd我们使用的安装一样users。考虑这对您自己的用例的影响。

现在是真正的紧要关头了x-systemd.device-timeout=100ms。当我转到挂载点的父目录并执行操作时，ls -l我收到了大量????????.这是 systemd 说那里应该有一些东西，但它找不到它。这种工作方式可以防止在设备不存在时向安装点写入任何内容。但是，/mnt如果有多个设备未插入（这很正常），您不想等待一整天才能列出。是x-systemd.idle-timeout=20min可选的。

结果

当您执行lsblk或第一次尝试访问该设备时，该设备可能会丢失。但它会自动安装，一两秒后，设备就可以使用了。

lsblk
# NAME            TYPE  FSTYPE      FSVER      SIZE LABEL     MOUNTPOINTS
# sda             disk  crypto_LUKS 2        117.2G backup

ls -l /mnt/backup
# ls: cannot access '/mnt/backup': No such device

ls -l /mnt/backup
total 24
# drwxrwxr-x 3 andy andy  4096 Sep  5  2023 desktop
# drwxrwxr-x 3 andy andy  4096 Sep  5  2023 desktop-backup
# drwx------ 2 root root 16384 Aug  4  2023 lost+found

lsblk
# NAME            TYPE  FSTYPE      FSVER      SIZE LABEL     MOUNTPOINTS
# sda             disk  crypto_LUKS 2        117.2G backup
# └─backup        crypt ext4        1.0      117.2G fit       /mnt/backup

ls /run/systemd/generator
# mnt-backup.automount
# mnt-backup.mount
# [email protected]

您可能需要执行systemctl daemon-reload和/或重新启动系统才能生成单元。

结论

这花了我一段时间才弄清楚，我希望我的理解是正确的。我确信还有更多东西需要学习，如果需要任何更正，请编辑/评论。

Answer