LVM на LUKS + LUKS/dm-cache

Установщик Ubuntu использует LVM на конфигурации LUKS, поскольку это - полное шифрование диска.

Если Вы захотите также использовать dm-кэш / lvmcache для повышения производительности, то необходимо будет поместить объединение кэша в зашифрованный том для поддержания безопасности данных.

Шаги

• Создайте объем LUKS на целевом блочном устройстве
• Расширитесь группа объема по умолчанию с новым зашифровала объем LUKS
• Создайте метаданные кэша и объемы данных в новом объеме LUKS
• Свяжите их как пул кэша
• Свяжите этот пул кэша с корневым объемом
• Удостоверьтесь, что новый зашифрованный том может быть смонтирован при начальной загрузке путем добавления его к /etc/crypttab
• Удостоверьтесь, что Ваша загрузочная среда поддерживает dm-кэш

Сценарий ниже обеспечивает пример и добавит зашифрованный пул кэша к существующей корневой файловой системе. Это было разработано для систем, которые использовали опцию шифрования диска по умолчанию в установщике Ubuntu - т.е.; целый диск разделен и зашифрованный, никакие пользовательские разделы и т.д.

Обратите внимание на то, что существует очень мало проверки или безопасного программирования в этом сценарии. Если это уничтожает Вашу рабочую систему, которая является Вашей ответственностью.

Звоните таким образом:

# 1   2          3           4     5    6
sudo bash lvmcryptocache /dev/sdb 32M 1968M

1. Потребности базируются для работы
2. запустите скрипт в ударе
3. название сценария
4. блочное устройство Вы хотите использовать (только протестированный с целым диском)
5. размер метаданных
6. размер данных кэша

Параметры размера находятся по умолчанию в МБ: Вам будет нужно отношение 1:1000 пространство метаданных для кэширования пространства (например, если диск кэша составляет 180 ГБ, Вам нужны 180 МБ пространства метаданных и 179820 МБ пространства данных - можно хотеть округлить в большую сторону метаданные немного, чтобы быть осторожными. Существует нижний предел для метаданных 8M.)

Вам предложат пароль для Вашего объема кэша - Вам предложат пароли для ОБОИХ из Ваших дисков во время начальной загрузки.

Ссылки

• Использование LVMs новая функция кэша (Richard Jones)
• Шифрование всей системы (dm-склеп Wiki)
• Комментарии к ошибке панели запуска № 1423796
• Начальная загрузка Debian Jessie от lvmcache

#!/bin/bash
#
# lvmcryptocache
#
# Add an LVM cache pool on and attach it to the root volume
# Including LUKS encryption
# Assumes you are using an "all on root" setup
# If you are not, adapt it if you like
#
# Script licensed GPL3 or later
# © Adrian Wilkins May 2015
#
# Pass the name of the disk device you are using as a cache
# This should ideally be totally blank, so run
#
# dd if=/dev/zero of=/dev/${DISK}
#
# over it for a short while to nuke the partition table

CACHE_DISK=$1
META_SIZE=$2
DATA_SIZE=$3

DISK_NAME=$(basename $CACHE_DISK)

CRYPT_VOLUME=${DISK_NAME}_crypt
CACHE_PV=/dev/mapper/${CRYPT_VOLUME}

# Create LUKS volume in raw disk

cryptsetup luksFormat $CACHE_DISK
cryptsetup open --type luks $CACHE_DISK $CRYPT_VOLUME

# Started to try and work out disk size stuff but it's complex
# Have a go if you like, I kept running out of extents
#
# DISK_SIZE=$(fdisk -l | grep "Disk ${CACHE_DISK}" | awk ' { print $5 } ')
# 
# META_SIZE=$(( DISK_SIZE / 1000 ))
# META_SIZE=$(( META_SIZE + 512 ))
# MOD=$(( META_SIZE % 512 ))
# MOD_OFFSET=$((512 - MOD))
# META_SIZE=$((META_SIZE + 512)) 
# META_SIZE=$((META_SIZE + MOD_OFFSET))
# 
# DATA_SIZE=$(( DISK_SIZE - META_SIZE))
# 

# Create new PV inside encrypted volume

pvcreate $CACHE_PV
vgextend ubuntu-vg $CACHE_PV
lvcreate -L ${META_SIZE} -n cachemeta ubuntu-vg $CACHE_PV
lvcreate -L ${DATA_SIZE} -n cachedata ubuntu-vg $CACHE_PV
lvconvert --type cache-pool --poolmetadata ubuntu-vg/cachemeta --cachemode writethrough ubuntu-vg/cachedata --yes
lvconvert --type cache --cachepool ubuntu-vg/cachedata ubuntu-vg/root

# Now add the UUID of the cache pool PHYSICAL DRIVE (/dev/sdb) to /etc/crypttab
DISK_UUID=$(ls -al /dev/disk/by-uuid/ | grep $DISK_NAME | awk '{ print $9 }')
echo "${CRYPT_VOLUME} UUID=${DISK_UUID} none luks,discard" >> /etc/crypttab

apt-get install --yes thin-provisioning-tools

HOOK=$(tempfile)
# Add a hook script to initramfs to add the right tools and modules

echo "#!/bin/sh" > $HOOK
echo "PREREQ="lvm2"" >> $HOOK
echo "prereqs()" >> $HOOK
echo "{" >> $HOOK
echo "  echo \"$PREREQ\"" >> $HOOK
echo "}" >> $HOOK
echo "case $1 in" >> $HOOK
echo "prereqs)" >> $HOOK
echo "  prereqs" >> $HOOK
echo "  exit 0" >> $HOOK
echo "  ;;" >> $HOOK
echo "esac" >> $HOOK
echo "if [ ! -x /usr/sbin/cache_check ]; then" >> $HOOK
echo "  exit 0" >> $HOOK
echo "fi" >> $HOOK
echo ". /usr/share/initramfs-tools/hook-functions" >> $HOOK
echo "copy_exec /usr/sbin/cache_check" >> $HOOK
echo "manual_add_modules dm_cache dm_cache_mq dm_persistent_data dm_bufio" >> $HOOK

cp $HOOK /etc/initramfs-tools/hooks/lvmcache
chmod +x /etc/initramfs-tools/hooks/lvmcache

echo "dm_cache" >> /etc/initramfs-tools/modules
echo "dm_cache_mq" >> /etc/initramfs-tools/modules
echo "dm_persistent_data" >> /etc/initramfs-tools/modules
echo "dm_bufio" >> /etc/initramfs-tools/modules

# Update initramfs

update-initramfs -u

echo Now reboot!