LUKS Verschlüssselung nur für LVM-Thin

[God-of-Games]

Hallo Zusammen,
ich suche eine Möglichkeit bei einer neuen PVE-Installation nur das LVM-Thin Volume zu verschlüsseln.
Hintergrund ist, dass der Server starten kann und ich über das Webinterface dann das Volume mit den VMs und LXC entschlüsseln kann.
Etwas schwieriger wird es dadurch, dass sich alle Volumes auf der gleichen M.2 SSD befinden, daher funktionieren die Anleitungen die ich im Netz gefunden habe nicht.
Vollverschlüsselung und Passworteingabe mittels Dropbear ist mir bekannt, möchte ich aber eigentlich nicht.

Was wäre hier die beste Vorgehensweise?

Viele Grüße,
Jochen

 

[fireon]

Für LVM-Thin hab ich da noch nicht mal annähernd was vernünftiges gefunden. Absolut perfekt funktioniert das ganze mit ZFS.

 

[Dunuin]

Theoretisch könntest du PVE einfach normal als LVM installieren und dann bei der Installation sagen, dass bei der SSD XYZ GB unpartitioniert bleiben sollen. Siehe Abschnitt "Advanced LVM Configuration Options" und dort speziell der Wert "minfree": https://pve.proxmox.com/wiki/Installation

Danach könntst du manuell in dem unzugewiesenen Bereich der SSD eine neue Partition erstellen, diese mit LUKS verschlüsseln und oben drauf dann manuell dein LVM-Thin Pool erstellen. Bei mir läuft ein LUKS verschlüsseltes LVM-Thin wunderbar. Autostart der Gäste musste ich aber deaktivieren.

Und was auch immer geht ist PVE auf ein Debian zu installieren. Siehe hier: https://pve.proxmox.com/wiki/Install_Proxmox_VE_on_Debian_11_Bullseye
Der Debian Installer kann auch LUKS verschlüsseltes LVM per GUI anlegen. Da könntest du dann deine SSD frei partitionieren wie es dir beliebt.

Systemvollverschlüsselung mit dropbear finde ich aber noch bei weitem die beste Lösung. Ob ich das Passwort nun vor dem Booten per SSH über dropbear-initramfs reinkopiere oder nach dem Booten über SSH. So oder so möchte ich das Passwort nicht auf dem Server haben und irgendwie muss ich es ja eingeben.

 

[God-of-Games]

Für LVM-Thin hab ich da noch nicht mal annähernd was vernünftiges gefunden. Absolut perfekt funktioniert das ganze mit ZFS.

Danke für den Hinweis, aber mit ZFS hatte ich schon schlechte Erfahrungen, wobei die auch schon lange zurück liegen. Vielleicht gebe ich in Zukunft dem ganzen noch mal eine Chance.

Theoretisch könntest du PVE einfach normal als LVM installieren und dann bei der Installation sagen, dass bei der SSD XYZ GB unpartitioniert bleiben sollen. Siehe Abschnitt "Advanced LVM Configuration Options" und dort speziell der Wert "minfree": https://pve.proxmox.com/wiki/Installation

Danach könntst du manuell in dem unzugewiesenen Bereich der SSD eine neue Partition erstellen, diese mit LUKS verschlüsseln und oben drauf dann manuell dein LVM-Thin Pool erstellen. Bei mir läuft ein LUKS verschlüsseltes LVM-Thin wunderbar. Autostart der Gäste musste ich aber deaktivieren.

Und was auch immer geht ist PVE auf ein Debian zu installieren. Siehe hier: https://pve.proxmox.com/wiki/Install_Proxmox_VE_on_Debian_11_Bullseye
Der Debian Installer kann auch LUKS verschlüsseltes LVM per GUI anlegen. Da könntest du dann deine SSD frei partitionieren wie es dir beliebt.

Systemvollverschlüsselung mit dropbear finde ich aber noch bei weitem die beste Lösung. Ob ich das Passwort nun vor dem Booten per SSH über dropbear-initramfs reinkopiere oder nach dem Booten über SSH. So oder so möchte ich das Passwort nicht auf dem Server haben und irgendwie muss ich es ja eingeben.

Die Erste Variante ist mir am Dienstag auch eingefallen und ich habe es so auch erfolgreich eingerichtet bekommen. Jedoch meldet parted beim erstellen der Partition, dass das Alignment nicht stimmen würde. Das scheint aber ein Bug zu sein was ich im Netz finden konnte. Dann hätte ich hier im Forum noch eine kurze Anleitung gepostet.

Vollverschlüsselt auf auf einem Debian hatte ich auch schon probiert, jedoch dabei festgestellt, dass die Anleitung doch in manchen Punkten von der ISO-Installation abweicht.

Ich sehe den Vorteil, dass ich sobald das System läuft das Passwort auch per Web-GUI eingeben kann und damit keinen SSH-Client extra bräuchte.

 

[Dunuin]

Ist dann dein swap, logs und Co aber auch wieder unverschlüsselt und so landen dann deine Daten von dem verschlüsseltem LVM-Thin doch wieder unverschlüsselt auf der Platte.

 

[God-of-Games]

Stimmt schon, bin hier gerade am überlegen, was das Sinnvollste Aufwand/Nutzen Verhältnis hat.

 

[carsten2]

Bei mehreren Serversion ist mandos für Vollverschlüsselung und Reboot-Fähigkeit eine Variante, die ich schon erfolgreich ausprobiert habe.
https://www.recompile.se/mandos