Das ist ein sehr valider Punkt. Wieso ist das eigentlich nicht vorgesehen?
Gut, in Rechenzentren kann man von einer gewissen Sicherheit ausgehen, aber ich vermute zur zahlenden Kundschaft von Proxmox gehören auch viele KMU, die von Systemintegratoren / Administratoren Proxmox eingerichtet bekommen? Hier könnte ein verschlüsseltes System auch hilfreich sein. Im Installer an der Stelle der Festplattenauswahl könnte man doch einen Encryption-Key gut unterbringen.
Darf ich fragen, wie du die Keys handhabst? Gibst du bei jedem Neustart nach Netztrennung (Strom hart aus) das Passwort für die Plattenverschlüsselung neu ein? Debian verschlüsselt dann nur die Systemplatte, oder?
Soweit ich weiß kann man nicht von verschlüsselten ZFS Pools booten. Ich musste da als Software-Raid mdraid statt ZFS nutzen. Und mdraid wird offiziell nicht von Proxmox unterstützt. Wird aber gerne genommen, weil es kaum RAM braucht und sich auch über LUKS verschlüsseln lässt. Mdraid ist also auch so ein Punkt was Proxmox auf Debian kann, die Proxmox ISO aber nicht. Hat man da nur einen alten Rechner mit z.B. 8 oder 16GB RAM macht da ja ZFS wenig Sinn, wenn da ZFS dann 4 oder 8GB RAM frisst und für die VMs nichts mehr über bleibt. Mit mdraid hätte man dann trotzdem Raid kann aber den doppelten RAM nutzen.
ZFS wäre mir da aber auch lieber gewesen, wenns denn gegangen wäre.
Wegen Verschlüsselung:
Proxmox ist auf zwei SSDs installiert. Diese sind als ein Raid1 Array über mdraid gespiegelt. Grub/ESP sind unverschlüsselt sowie auch die Boot-Partition. Dann ist da eine LUKS verschlüsselte Partition in der LVM läuft. Das LVM hat dann zwei LVs. Einmal für das Root-Verzeichnis und einmal für SWAP. Bis auf den Kram der für das Booten benötigt wird ist da also das ganze System verschlüsselt. Dann habe ich über initramfs-dropbear den Bootloader angepasst. Nach dem Booten kann ich dann entweder physisch per Tastatur oder per Web KVM des IPMIs den Schlüssel für LUKS eintippen oder ich verbinde mich zum im RAM ausgeführen SSH-Server. Dann kann ich mich bequem per SSH mit RSA Key zum Server verbinden und werde da dann gleich nach dem LUKS Passwort gefragt. Per Copy&Paste das LUKS Passwort aus dem Passwort Manager einfügen und daraufhin wird dann LUKS entsperrt und Proxmox bootet.
In Proxmox habe ich das automatische Hochfahren der VMs ausgeschaltet, da die VMs alle auf verschlüsselten ZFS Pools liegen, welche noch gesperrt sind. Nach dem Hochfahren startet dann ein selbst geschriebenes Script, welches die Passwörter für die ZFS Pools von dem nun entschlüsselten Root-Verzeichnis ausliest und diese damit entsperrt. Danach mountet das Script einmal alle SMB Shares und ZFS Datasets und startet dann alle VMs.
Ist also alles super bequem und trotzdem ziemlich sicher. Ich muss nur ein einziges mal irgendwo ein Passwort eintippen und das ist das Passwort für meinen Passwort Manager. Dann kurz SSH öffnen, Passwort einfügen und fertig. Alles weitere läuft dann automatisch ohne Zutun.
Außerdem greift Proxmox dann noch auf einen FreeNAS-Server zu. Der ist auch verschlüsselt. Und der FreeNAS-Server macht wöchentliche Backups auf einen zweiten FreeNAS-Server der ebenfalls verschlüsselt ist. Da habe ich mir auch extra ein Script geschrieben, welches auf dem Haupt-FreeNAS-Server läuft und ohne Zutun den Backup-FreeNAS-Server anschaltet, entschlüsselt und wenn alles synchronisiert wurde wieder runterfährt. Das mit den Backups läuft also auch ohne ein Zutun. Bei dem Haupt-FreeNAS-Server kann man über das WebGUI die ZFS Pools entschlüsseln. Bevor ich den Proxmox-Server hochfahre muss das NAS an sein, wo ich die Passwörter für die Pools per Passwort-Manager im WebGUI ausfüllen lasse.
Bei FreeNAS lässt sich aber leider nicht das ganze OS verschlüsseln, da es ja nur eine Appliance ist. Aber wenigstens kann man die Pools mit den Daten selbst noch verschlüsseln.
Da sehe ich leider nichts. Ich meinte Dinge wie "ksmtuned" etc die Debian nicht mitinstalliert, das "proxmox-ve" Package aber auch nicht, die aber bei einer PVE ISO Installation installiert werden.
