Ubuntu Server zweite Festplatte mit LUKS verschlüsseln und beim Boot automatisch einbinden sowie Festplatte im laufenden Betrieb vergrößern
Aus znilwiki
Changelog:
- 18.05.2026 erste Version
Vorwort
Ich nutze virtuelle Cloud-Server auch für Backups und war am überlegen ob ich deren Dateisystem verschlüsseln soll.
Dabei habe ich ausprobiert, sowohl die Boot-Festplatte als auch eine zusätzlichen Datenfestplatte zu verschlüsseln.
Beim Start des Systems soll aber nur einmal das Passwort abgefragt werden und danach automatisch alle Festplatten entschlüsselt und in das Dateisystem eingehängt werden.
Da habe ich einen Moment für gebraucht, deshalb habe ich mir wie immer eine Schritt-für-Schritt-Anleitung geschrieben damit ich das später auch noch mal hinbekomme.
Als Clou habe ich - mit Unterstützung von Google Gemini - ein Skript für das Vergrößern der Festplatten auch mit LUKS-Verschlüsselung erstellt.
Hardwarekonfiguration
Für diesen Beitrag nutze ich eine Proxmox-VM mit 2 Festplatten:
Hard Disk (scsi0) mit 32GB ist dabei die Betriebssystem Festplatte und liegt auf einer NVMe,
Hard Disk (scsi1) mit 512GB ist das Datengrab und liegt auf einem RAID5 aus drehenden Festplatten
Installation Grundsystem mit Verschlüsselung
Ich installiere hier Ubuntu Server 26.04 LTS, sollte mit anderen Versionen und Systemen wie Debian ähnlich sein.
Dabei wähle ich die Festplattenverschlüsselung direkt im Setup aus.
Das Setup an sich überspringe ich bis zu dem Teil mit der Festplattenauswahl.
Wer genauere Installationsanweisung haben möchte, den Verweise ich auf meine Universalanleitung dazu: Installation Ubuntu 2604 oder Installation Ubuntu 2404
Diese Verwende ich auch immer in meinen anderen Artikeln.
Wichtig bei der Sprachauswahl ist die richtige Tastatur - wenn beim Booten das Passwort für die Verschlüsselung abgefragt wird, ist das gewählte Tastaturlayout aktiv - wichtig für Sonderzeichen und Umlaute im Verschlüsselungspasswort!
Wenn der Dialog Begleitete Speicherplatzkonfiguration erscheint beachtet folgendes:
- Achtet darauf das die richtige Festplatte ausgewählt ist! Bei mir war die 512G Festplatte vorausgewählt und ich musste händisch zu 32G wechseln
- Setzt den Haken bei Die LVM-Gruppe mit LUKS verschlüsseln
- Vergebt ein Passwort / eine Passphrase die Ihr dann zukünftig zum entsperren des System beim Booten eingeben müsst
Im der Zusammenfassung sieht das dann so bei mir aus:
Die 512G sind noch unbenutzt, auf den 32G richtet er das LVM-Volume ubuntu-vg mit der Datenpartition ubuntu-lv ein welche er nach / mounted.
Wer sich wundert das da von den 29.980G nur 14.988G im Dateisystem landet:
Ubuntu nimmt - bei der Verwendung von LVM - ab Werk nur den halben verfügbaren Speicher, ganz oben steht unterhalb von ubuntu-vg die Zeile mit
freier Speicherplatz 14.992G
Um diesen auch zu nutzen, bewegt den Fokus mit den Pfeiltasten auf die Zeile mit ubuntu-lv und rückt Enter:
Wählt Edit:
Und setzt in diesem Dialog den Wert auf das Maximum:
Jetzt sieht die Zusammenfassung so aus:
Der einzige freie Speicherplatz ist nun die 2. Festplatte.
Der Rest des Setups wie gewohnt / gehabt.
Am Ende des Setups erfolgt der erste Reboot - und Ihr müsst zum ersten mal das Passwort zum entsperren eingeben:
Kontrolle nach dem Neustart
Nach dem Reboot habe ich mich angemeldet und bin zum root gewechselt.
Meine Mappings sehen nun so aus:
df -h
Ausgabe:
Dateisystem Größe Benutzt Verf. Verw% Eingehängt auf
tmpfs 329M 1008K 328M 1% /run
none 1,0M 0 1,0M 0% /run/credentials/systemd-cryptsetup@dm_crypt\x2d0.service
/dev/mapper/ubuntu--vg-ubuntu--lv 30G 5,2G 23G 19% /
tmpfs 822M 0 822M 0% /dev/shm
none 1,0M 0 1,0M 0% /run/credentials/systemd-journald.service
tmpfs 822M 0 822M 0% /tmp
none 1,0M 0 1,0M 0% /run/credentials/systemd-resolved.service
/dev/sda2 2,0G 186M 1,7G 11% /boot
none 1,0M 0 1,0M 0% /run/credentials/systemd-networkd.service
none 1,0M 0 1,0M 0% /run/credentials/getty@tty1.service
tmpfs 165M 8,0K 165M 1% /run/user/1000
Im LVM gibt es nur die eine Volume Group mit der 32G Festplatte:
vgs
Ausgabe:
VG #PV #LV #SN Attr VSize VFree ubuntu-vg 1 1 0 wz--n- 29,98g 0
Die zweite. noch leere Festplatte ist die /dev/sdb:
fdisk -l
Ausgabe:
Festplatte /dev/sda: 32 GiB, 34359738368 Bytes, 67108864 Sektoren Festplattenmodell: QEMU HARDDISK Einheiten: Sektoren von 1 * 512 = 512 Bytes Sektorgröße (logisch/physikalisch): 512 Bytes / 512 Bytes E/A-Größe (minimal/optimal): 512 Bytes / 512 Bytes Festplattenbezeichnungstyp: gpt Festplattenbezeichner: 357E98E9-94AA-4982-8244-AB5A910BC31A Gerät Anfang Ende Sektoren Größe Typ /dev/sda1 2048 4095 2048 1M BIOS boot /dev/sda2 4096 4198399 4194304 2G Linux-Dateisystem /dev/sda3 4198400 67106815 62908416 30G Linux-Dateisystem Festplatte /dev/sdb: 512 GiB, 549755813888 Bytes, 1073741824 Sektoren Festplattenmodell: QEMU HARDDISK Einheiten: Sektoren von 1 * 512 = 512 Bytes Sektorgröße (logisch/physikalisch): 512 Bytes / 512 Bytes E/A-Größe (minimal/optimal): 512 Bytes / 512 Bytes Festplatte /dev/mapper/dm_crypt-0: 29,98 GiB, 32192331776 Bytes, 62875648 Sektoren Einheiten: Sektoren von 1 * 512 = 512 Bytes Sektorgröße (logisch/physikalisch): 512 Bytes / 512 Bytes E/A-Größe (minimal/optimal): 512 Bytes / 512 Bytes Festplatte /dev/mapper/ubuntu--vg-ubuntu--lv: 29,98 GiB, 32191283200 Bytes, 62873600 Sektoren Einheiten: Sektoren von 1 * 512 = 512 Bytes Sektorgröße (logisch/physikalisch): 512 Bytes / 512 Bytes E/A-Größe (minimal/optimal): 512 Bytes / 512 Bytes
Diese 512G Festplatte möchte ich nun als verschlüsseltes Laufwerk nach /opt mounten.
Zweite Festplatte verschlüsseln und einbinden
Als root:
cryptsetup luksFormat /dev/sdb
Bestätigen und eine Passphrase festlegen:
WARNUNG! ======== Hiermit werden die Daten auf »/dev/sdb« unwiderruflich überschrieben. Sind Sie sicher? (Tippen Sie 'yes' in Großbuchstaben): YES Geben Sie die Passphrase für »/dev/sdb« ein: Passphrase bestätigen:
Jetzt die verschlüsselte Partition öffnen:
cryptsetup luksOpen /dev/sdb luks_sdb
Ausgabe:
Geben Sie die Passphrase für »/dev/sdb« ein:
Das entschlüsselte Laufwerk steht nun als
/dev/mapper/luks_sdb
zur Verfügung. Die Bezeichnung luks_sdb ist frei wählbar.
Jetzt können wir Vorlage:Luks sdb nutzen um es mit LVM zu konfigurieren:
pvcreate /dev/mapper/luks_sdb vgcreate vg_luks_sdb /dev/mapper/luks_sdb lvcreate -n lv_opt -l100%VG vg_luks_sdb mkfs.ext4 /dev/vg_luks_sdb/lv_opt
Der Name der Volume Group vg_luks_sdb und des Logical Volume lv_opt sind wiederum frei wählbar, aber die Pfade/Parameter müsst Ihr dann an eure Bezeichnungen anpassen.
Wir könnten jetzt lv_opt bereits an das leere Verzeichnis /opt mounten, aber wir wollen ja das dies beim booten automatisch geschieht.
Automatischen Mount beim Start einrichten
Im Moment wird /dev/sdb nur per Passwort entsperrt.
Wir richten jetzt zusätzlich ein das man das Laufwerk per Schlüssel aus einer Datei entsperren kann.
Zuerst ein Verzeichnis in welchen wir den Schlüssel ablegen. Diese muss auf der bestehenden verschlüsselten Festplatte liegen:
mkdir /etc/luks
Jetzt die Schlüsseldatei. Die enthält nichts weiter als einen String. Der nachfolgende Befehl erzeugt eine 4 Kilobyte große zufällige Datei luks_sdb.key,
dd if=/dev/urandom of=/etc/luks/luks_sdb.key bs=512 count=8
Die Datei schützen gegen Zugriff:
chmod 0400 /etc/luks/luks_sdb
Und jetzt die Datei als Entschlüsselungsmethode dem verschlüsselten Laufwerk /dev/sdb hinzufügen:
cryptsetup -v luksAddKey /dev/sdb /etc/luks/luks_sdb.key
Beispielausgabe:
Geben Sie irgendeine bestehende Passphrase ein: Schlüsselfach 0 entsperrt. Schlüsselfach 2 erstellt. Befehl erfolgreich.
0 war das Passwort, nach 2 wurde der Key gespeichert. Unter 1 habe ich eine 2. Passphrase gespeichert.
Dienst für das Entsperren erstellen
Jetzt richten wir einen Dienst ein der beim Booten das Laufwerk /dev/sdb mit diesem Key entsperrt:
nano /etc/systemd/system/decrypt-luks_sdb.service
Inhalt:
[Unit]
Description=Decrypt and open /dev/sdb
Documentation=man:cryptsetup
DefaultDependencies=no
Conflicts=shutdown.target
After=local-fs.target
Before=shutdown.target
BindsTo=dev-sdb.device
After=dev-sdb.device
#Before=var-lib-docker.mount
[Service]
Type=oneshot
RemainAfterExit=yes
ExecStart=/usr/sbin/cryptsetup luksOpen /dev/sdb luks_sdb --key-file /etc/luks/luks_sdb.key
ExecStartPost=/usr/sbin/vgscan ; /usr/sbin/vgchange -ay
ExecStop=/usr/sbin/vgchange -a n vg_luks_sdb ; /usr/sbin/cryptsetup luksClose luks_sdb
TimeoutSec=90s
Der Dienst wartet auf die Verfügbarkeit des Gerätes dev-sdb.devive, das wird automatisch vom System zur Verfügung gestellt.
Unter ExecStart wird die Festplatte dann entschlüsselt mit dem erzeugten Key.
ExecStartPost veranlasst den LVM neu nachzusehen ob es da neue Laufwerke gibt und bindet diese ein,
ExecStop hängt das Volume beim herunterfahren wieder aus und beendet den Zugriff
Den Dienst starten wir jetzt aber nicht und setzen diesen auch nicht auf einen automatischen Start.
Wir richten einen zweiten Dienst ein der dann das Logical Volume mappt, dieser wird den Dienst für die Entschlüsselung dann aufrufen.
Dienst für das Mapping / Mounten erstellen
Für den zweiten Dienst ist es wichtig, wohin wir mounten wollen.
Ich möchte die Festplatte unter
/opt
einhängen. Der Mountpoint muss sich zwingend im Namen des Dienstes widerspiegeln, in diesem Fall muss die Datei
/etc/systemd/system/opt.mount
heißen. Wäre der Mountpoint /mnt/meineDisk so müsste die Datei /etc/systemd/system/mnt-meineDisk.mount heißen!
Wir erstellen also die Datei:
nano /etc/systemd/system/opt.mount
mit folgendem Inhalt:
# this systemd unit will mount the LVM logical volume
# //dev/vg_luks_sdb/lv_opt at /opt
[Unit]
Description=Mount lv_luks_sdb
DefaultDependencies=no
ConditionPathExists=/opt
Requires=decrypt-luks_sdb.service
After=decrypt-luks_sdb.service
[Mount]
What=/dev/vg_luks_sdb/lv_opt
Where=/opt
[Install]
WantedBy=multi-user.target
Testen!
Wir lassen systemctl die Dienste neu einlesen:
systemctl daemon-reload
und beenden das Logical Volume und entladen das verschlüsselte Laufwerk:
/usr/sbin/vgchange -a n vg_luks_sdb /usr/sbin/cryptsetup luksClose luks_sdb
Jetzt starten wir zum Test den Dienst für das Mounten:
systemctl start opt.mount
Wenn alles klappt, dauert es ein paar Sekunden und der Prompt kehrt zurück.
Bei
df -h
sieht es nun so bei mir aus:
Dateisystem Größe Benutzt Verf. Verw% Eingehängt auf
tmpfs 329M 1,1M 328M 1% /run
none 1,0M 0 1,0M 0% /run/credentials/systemd-cryptsetup@dm_crypt\x2d0.service
/dev/mapper/ubuntu--vg-ubuntu--lv 30G 5,2G 23G 19% /
tmpfs 822M 0 822M 0% /dev/shm
none 1,0M 0 1,0M 0% /run/credentials/systemd-journald.service
tmpfs 822M 0 822M 0% /tmp
none 1,0M 0 1,0M 0% /run/credentials/systemd-resolved.service
/dev/sda2 2,0G 186M 1,7G 11% /boot
none 1,0M 0 1,0M 0% /run/credentials/systemd-networkd.service
none 1,0M 0 1,0M 0% /run/credentials/getty@tty1.service
tmpfs 165M 8,0K 165M 1% /run/user/1000
/dev/mapper/vg_luks_sdb-lv_opt 503G 2,1M 478G 1% /opt
Jetzt können wir den Dienst aktivieren:
systemctl enable opt.mount
und das System einmal neu starten und kontrollieren ob es auch noch einem Reboot vorhanden ist.
Das sollte so sein, ich habe eine Weile gebraucht bis ich das hinbekommen hatte - die Lösung war das der Dienst zum entperren auf das Device wartet.
Weitere Passphrasen für das Entsperren angeben
Wer will kann weitere Passphrasen für das Bootlaufwerk angeben, diese funktionieren dann alle gleichberechtigt.
Kann auch als Trick genutzt werden wenn es Probleme mit der Tastaturbelegung gibt.
Als root
cryptsetup luksAddKey /dev/sda3
Dann fragt er ein bestehendes und dann 2 mal das neue Kennwort ab:
Geben Sie irgendeine bestehende Passphrase ein: Geben Sie die neue Passphrase für das Schlüsselfach ein: Passphrase bestätigen:
Und in Zukunft kann auch dieses Kennwort genutzt werden.
Quellen
- https://medium.com/@chandana_33332/howto-setup-a-luks-encrypted-drive-with-lvm-on-linux-f33465383bb8
- https://gemini.google.com/