Debian 9配置双UUID挂载至同一目录的LUKS加密分区启动问题

首先得明确启动报错的核心原因：默认情况下，系统启动时会强制尝试执行/etc/fstab里的所有挂载项——哪怕对应的U盘没插；同时/etc/crypttab如果只绑定了单个密钥源，备份U盘插上时系统也没法自动识别它作为替代解锁凭证。下面是一步步的实操解决方案：

1. 调整/etc/crypttab，让LUKS支持双密钥U盘 #

先让加密分区接受两个U盘里的密钥文件作为解锁凭证：

步骤1：获取两个U盘的分区UUID #

分别插上两个U盘，用blkid命令查看它们的分区UUID（比如/dev/sdb1或/dev/sdc1的UUID）：

blkid

把两个UUID记下来，比如主盘UUID和备份盘UUID。

步骤2：修改/etc/crypttab配置 #

原来的crypttab条目可能类似这样：

luks-encrypted /dev/mapper/your-disk-uuid /media/usb/keyfile luks

现在替换成支持双U盘的配置，用自定义脚本自动查找密钥：

luks-encrypted /dev/mapper/your-disk-uuid none luks,keyscript=/usr/local/bin/luks-usb-key.sh

这里放弃直接指定单个密钥路径，改用脚本动态检测可用的密钥U盘。

步骤3：编写密钥检测脚本 #

创建/usr/local/bin/luks-usb-key.sh脚本，让它自动遍历已连接的U盘，找到包含密钥文件的设备：

#!/bin/bash
# 你的密钥文件名，比如luks_key
KEY_FILENAME="luks_key"

# 临时挂载目录
TMP_MOUNT="/tmp/luks-usb-mount"
mkdir -p $TMP_MOUNT

# 遍历常见的U盘分区路径（根据你的系统调整，比如/dev/mmcblk*p1适用于SD卡）
for dev in /dev/sd*1 /dev/mmcblk*p1; do
    # 尝试只读挂载分区，忽略错误输出
    if mount -t vfat -o ro $dev $TMP_MOUNT 2>/dev/null; then
        # 检查是否存在密钥文件
        if [ -f "$TMP_MOUNT/$KEY_FILENAME" ]; then
            cat "$TMP_MOUNT/$KEY_FILENAME"
            umount $TMP_MOUNT
            rmdir $TMP_MOUNT
            exit 0
        fi
        umount $TMP_MOUNT
    fi
done

# 没找到密钥时退出，系统会提示手动输入密码
rmdir $TMP_MOUNT
exit 1

给脚本添加执行权限：

chmod +x /usr/local/bin/luks-usb-key.sh

2. 修改/etc/fstab，避免启动时强制挂载不存在的U盘 #

原来的双挂载项会导致系统启动时卡住——因为它会尝试挂载没插上的U盘。我们要给挂载项加特殊参数，让systemd只在需要解锁LUKS时才尝试挂载，超时自动跳过：

假设你的挂载点是/media/luks-key，主盘和备份盘的UUID分别是UUID=XXX和UUID=YYY，文件系统是vfat，那么fstab条目应该改成：

UUID=XXX /media/luks-key vfat noauto,x-systemd.required-by=luks-encrypted,x-systemd.device-timeout=10,ro 0 0
UUID=YYY /media/luks-key vfat noauto,x-systemd.required-by=luks-encrypted,x-systemd.device-timeout=10,ro 0 0

参数说明：

• noauto：禁止系统启动时自动挂载，只有被依赖时才触发
• x-systemd.required-by=luks-encrypted：告诉systemd，这个挂载是解锁luks-encrypted设备的必要条件
• x-systemd.device-timeout=10：如果设备不存在，10秒后跳过，避免启动卡住
• ro：只读挂载，防止密钥文件被意外修改

3. 验证配置并测试 #

1. 手动测试密钥脚本：拔掉当前U盘，插上备份盘，执行命令尝试解锁加密分区：

cryptsetup open /dev/mapper/your-disk-uuid luks-encrypted

如果能成功解锁，说明脚本工作正常。

2. 更新systemd配置：

systemctl daemon-reload

3. 重启测试：分别用主U盘和备份U盘启动系统，确认都能自动解锁加密分区，且不会出现启动报错。

常见问题排查 #

• 如果启动仍卡住：检查/etc/crypttab里的脚本路径是否正确，脚本是否有执行权限
• 确保两个U盘里的密钥文件完全一致：可以用cmp命令对比：cmp /media/usb1/luks_key /media/usb2/luks_key
• 如果U盘文件系统不是vfat：修改脚本里的mount -t vfat为对应的文件系统（比如ext4）

内容的提问来源于stack exchange，提问作者Guntis