如何加密Btrfs子卷？Btrfs加密专项技术咨询

嘿，既然你已经有LVM全磁盘加密的经验，那咱们直接切入Btrfs单独加密home子卷的核心内容——毕竟你也看过Arch Wiki，知道整体逻辑和LVM加密路子差不多，只是把LVM的卷组/逻辑卷结构换成Btrfs子卷就行，完全不用搞全分区加密，精准针对home子卷来操作。

核心逻辑对齐 #

你抓的点特别准：Btrfs子卷加密和LVM全磁盘加密的底层逻辑一致，都是通过LUKS加密层来保护目标存储，但区别在于不需要加密整个Btrfs分区，只把home子卷作为独立的加密容器，既保留了Btrfs子卷的灵活管理，又实现了指定目录的加密隔离。

实操关键步骤 #

• 准备加密子卷：先把未加密的Btrfs主分区挂载到临时路径（比如/mnt/btrfs），然后创建专门用于加密的home子卷：

  btrfs subvolume create /mnt/btrfs/@home_encrypted
  

• 初始化LUKS加密容器：和LVM里加密逻辑卷的操作一致，把刚才创建的子卷当作块设备来格式化加密：

  cryptsetup luksFormat /mnt/btrfs/@home_encrypted
  # 按照提示输入加密密码，确认后完成初始化
  

• 解密并挂载加密子卷：打开加密容器，然后把解密后的设备挂载到/home目录：

  cryptsetup open /mnt/btrfs/@home_encrypted home_crypt
  # 可以先格式化解密后的设备为Btrfs（如果需要），不过直接挂载也能使用子卷特性
  mkfs.btrfs /dev/mapper/home_crypt
  mount /dev/mapper/home_crypt /home
  

• 配置开机自动解密挂载：
  1. 编辑/etc/crypttab，添加加密容器的自动解密规则（确保主Btrfs分区已先挂载）：

     home_crypt /mnt/btrfs/@home_encrypted none luks
     

  2. 编辑/etc/fstab，添加解密后的设备挂载规则：

     /dev/mapper/home_crypt /home btrfs defaults 0 0
     

避坑注意事项 #

• 和LVM加密的差异点：LVM是先创建逻辑卷再加密，而Btrfs这里是先创建明文子卷，再把它作为LUKS容器——本质都是加密块设备，但Btrfs子卷不需要额外的卷组管理，更轻量化。
• 禁止加密整个Btrfs分区：如果你加密整个Btrfs分区，所有子卷都会被加密，反而失去了Btrfs子卷灵活管理的优势，咱们要的就是只加密home的精准性。
• 必做：备份LUKS头：和LVM加密一样，一定要备份加密容器的LUKS头，防止容器损坏导致数据永久丢失：

  cryptsetup luksHeaderBackup /mnt/btrfs/@home_encrypted --header-backup-file /root/home_luks_header.img
  

内容的提问来源于stack exchange，提问作者renyuneyun