无头Ubuntu服务器上加密Btrfs RAID1磁盘的远程解锁方案咨询

嘿，你的这个无头加密NAS需求特别贴合实际场景——既要冗余加密的存储，又不想被重启后的解密步骤卡脖子，我之前帮朋友折腾过类似配置，给你几个靠谱的解决思路：

方案一：早期SSH解锁（最安全且实用） #

这正是你提到的「提前加载SSH以便远程输入解密密钥」的思路，核心是用轻量SSH服务器dropbear在系统初始化的initramfs阶段启动，具体步骤如下：

• 安装dropbear工具包：sudo apt install dropbear-initramfs
• 配置SSH访问权限：
  1. 把你的远程机器SSH公钥复制到/etc/dropbear-initramfs/authorized_keys（避免明文传输密码，更安全）
  2. 编辑/etc/dropbear-initramfs/config，可以设置允许登录的用户（建议用root或者专门创建的解锁用户），也可以指定监听端口
• 更新initramfs，让配置生效：sudo update-initramfs -u
• 重启服务器后，系统会在加密磁盘解密的阶段启动dropbear，你从远程机器SSH到服务器IP（建议提前给服务器设置DHCP静态分配IP，避免每次重启IP变化），然后执行cryptroot-unlock命令，输入解密密码即可解锁磁盘，后续系统会自动完成Btrfs RAID挂载和NFS服务启动。

方案二：密钥文件+安全存储（降低安全风险的折中方案） #

如果不想每次重启都手动输密码，密钥文件是可选方案，但必须解决你担心的安全问题：

• 绝对不要把密钥文件放在系统盘或加密磁盘内，要放在物理隔离的安全存储上：
  • 若服务器主板支持TPM2.0，可以把解密密钥密封到TPM模块中，只有这台特定的主板能解锁加密磁盘，就算硬盘被偷走，没有对应主板也无法解密。需要安装tpm2-tools工具包，配置crypttab关联TPM作为密钥源。
  • 也可以用只读USB存储设备存放密钥文件，但无头场景下插拔USB不方便，更适合配合TPM使用。

额外注意事项 #

• 确保initramfs阶段网络正常：优先用有线网卡，无线网卡的驱动大概率不会被包含在initramfs里，容易导致SSH连不上。
• 提前测试：配置完成后手动重启一次，验证远程解锁流程是否顺畅，避免突发断电后才发现问题。
• Btrfs RAID挂载配置：要确保/etc/fstab或cryptsetup的配置中，加密磁盘解锁后能自动挂载Btrfs RAID卷，这样NFS共享才能正常启动。

备注：内容来源于stack exchange，提问作者Prototype700