http://kuangbiwei.blog.163.com/blog/static/1382696201010132465653/
Linux将/swap 、/tmp 及 /home 加密 zz
将 /tmp、/swap 及 /home 加密
将 LVM 上的 /tmp、/swap 及 /home
加密这
份指引将会协助你采用 cryptsetup LUKS 将 /tmp、/swap 及 /home
加密。我会假设你已经拥有一个安装好的系统，而需要将 /tmp、/swap 及 /home 加密。我也假设 /home 内
藏有你的数据，因此请小心地将 /home
备份才继续前进针对 /tmp、/swap 及 /home 的指引。这份指引假设你需要将整个分区加密，因此它们现有的数据将会被删除。
系统：
CentOS 5.x
系统设置
除非你在安装时没有选择 base，而选择不安装任何东西，否则你应该已经拥有加密时所需的工具。请先检查，然后继续前进。
#
rpm -q cryptsetup device-mapper util-
linux# modprobe dm_crypt
# lsmod | grep dm_crypt
将 /home 备份
我应该不必再告诉你，但请确定你已经将 /home 备份到一个外置存储器，然后才继续前进！就算你的本地磁盘有空间，你亦不应将备份放在现有磁盘上，因为你将要在本地的文件系统上动工。
# cp -arfp /home /some/external/storage
将 /swap 加密
让
我们先将 /swap 加密，检查它能运作，然后才转移到 /tmp。我会推荐你将主机关掉，虽然你不想的话也不是必须的。由于直到下次开机前 swap
都不会再被访问，你可以立即将它加密。请现在就创建 /etc/crypttab 这个文件，并加入 swap 的参数。
# vim /etc/crypttab
swap /dev/vg0/swap /dev/urandom swap,cipher=aes-cbc-essiv:sha256
请依照你的磁盘区群组名称及布局，修改路径来迎合你的需要。这里指定加密系统在开机时采用 AES 的 SHA 256 位元加密法。每次开机所产生的新密钥将会在系统中一直生效。关机的时候，这条密钥不再有效，因此 /swap 便受到保护。
接着，编辑 /etc/fstab 来反映这些改动。
/dev/mapper/swap none swap defaults 0 0
这样便完成了 swap 的加密。你现在可以重新开机并查看 swap 已被重新启用，或者你可以直接改动 /tmp。
将 /tmp 加密
加密 /tmp 的步骤与 /swap 的稍有不同。你须要在 /etc/fstab 被读入后，利用一个
脚本来挂载 /tmp。这个脚本要归功给
clasohm.com，也就是我找到它的地方。当 /etc/fstab 获处理后，一个加密的磁盘区便会被创建起来。基于 /tmp 的访问方法（我假设），/tmp 需要特别的处理。
首先，在 /etc/crypttab 内加入所需的记录，并从 /etc/fstab 中注释掉用来正常挂载 /tmp 的记录。
# vim /etc/crypttab
tmp /dev/vg0/tmp /dev/urandom tmp,cipher=aes-cbc-essiv:sha256
# vim /etc/fstab
# 请紧记将下列一行改为注释。
#/dev/vg0/tmp /tmp ext3 defaults 1 2
复制来自 clasohm.ocm 的脚本，并将它放置在 /etc/init.d 内。
# vim /etc/init.d/cryptotmp
#!/bin/
bash#
# cryptotmp setup crypted tmp partition
#
# chkconfig: 2345 01 90
# description: adds crypted tmp partition.
. /etc/init.d/functions
# See how we were called.
case "$1" in
start)
mount /dev/mapper/tmp /tmp
restorecon /tmp
action "Adding encrypted tmp"
touch /var/lock/subsys/cryptotmp
;;
stop)
rm -f /var/lock/subsys/cryptotmp
;;
*)
echo $"Usage: $0 {start|stop}"
exit 1
esac
exit 0
将脚本设为可执行的，并将 chkconfig 执行在它身上。
# chmod +x /etc/init.d/cryptotmp
# chkconfig --add cryptotmp
它
的原理与设置 /swap 相同。系统开机时，将会产生一条新的密钥来加密 /tmp。当系统关机的时候，这条密钥将会被丢弃，因此 /tmp
便受到保护。然而，假若你的脚本将东西写入 /tmp，请留意 /swap 及 /tmp 的内容在开机时将会被清除。另外，clasohm.co
声称当 /swap 及 /tmp 被密后，你便不能将系统悬置在磁盘上，这是可以理解的。要在加密 /home
分区前检查一切是否运作正常，请重新开机，并确定它能使用 /swap 及 /tmp 引导服务。
将 /home 加密
接着让我们将 /home 加密。同样地，你可以立即进行这一步，但如果你登录了这台机器，请先注销你的帐户，并进到 root 的
命令行。你须要卸下 /home 好让你能够将这个分区加密，然后在上面重新创建一个文件系统。我在这里再三警告，将你的 /home 备份安置在你本地磁盘以外的地方！
如果你仍未这样做，请现在备份。然后卸下 /home。
# cp -arfp /home /some/external/storage
# umount /home
在容器上设置 LUKS 的密码。请确定你选择一个强效的密码，意思就是它包含大写字母、小写字母、符号、及数字。你的加密靠赖它了，因此不防采用一个长的密码。
# cryptsetup luksFormat /dev/vg0/home
WARNING!
========
This will overwrite data on /dev/vg0/home irrevocably.
Are you sure? (Type uppercase yes): YES
Enter LUKS passphrase:
Verify passphrase:
Command successful.
接着，利用你创建的密码打开加密的分区。
# cryptsetup luksOpen /dev/vg0/home home
Enter LUKS passphrase:
请将随机数据写入设备内，好叫查看磁盘的人不能估计当中藏有多少数据。如果你拥有一个大的分区，这样做需时颇长，因此请去喝杯咖啡、梳打、或啤酒才返回来。你可以跳过这一步，但花时间来做它能增强加密的功效。
# dd if=/dev/urandom of=/dev/mapper/home
由于 dd 不显示状况，下面是一个查看程序进行了多久的
技巧。首先，找出以上 dd 指令的进程编号，然后利用 watch 及 kill 来显示状况的信息。
# ps uxa | grep dd
# watch -n 20 kill -USR1 PID
现在你须要在分区上创建文件系统。
# mke2fs -j -O dir_index /dev/mapper/home
# tune2fs -l /dev/mapper/home
最后，关闭已加密的分区。
# crypsetup luksClose home
正如 /swap 一样，你须要编辑 /etc/fstab 并加入正确的路径。
# vim /etc/fstab
#/dev/vg0/home /home ext3 defaults 1 2
/dev/mapper/home /home ext3 defaults 1 2
最后，将路径加入 /etc/crypttab 内。如果你单单指定分区及 home 目录这两参数，那么每次开机时你都会被问及用来保护数据的 LUKS 密码。你可以做一些别出心裁的事情，例如将你的金钥放置在
USB 存储器上，并且在开机时自动挂载它。但我看不见有这个需要。
# vim /etc/crypttab
home /dev/vg0/home
现
在尝试重新开机。它应该引导并询问 LUKS 密码。输入它，然后计算机使会挂载 /home
目录。接着你可以与旧的数据进行同步，很快你便拥有通过加密而受保护的 /tmp、/swap 及
/home。假如有人偷了你的硬件，你的数据应该仍然安全。当然，如果你想将其它分区加密，你只需取代 /home
这个路径便是了。举个例说，你将机器备份在家中的一个备份目录里。我会复制以上的设置到家中的桌上计算机，并且将那用来存储笔记本备份的 /srv
目录也加密。此外，如果你依然不太明白加密这玩意，请用 Knoppix 等 live CD 开机，然后探索文件系统并尝试挂载 /home。
有关 Knoppix 及 LVM 的提示：当开机完成后，请执行以下两个指令以确保 Knoppix 检查磁盘区群组。
# vgscan
# vgchange -a y
现
在你将会看见 /dev/vg0/home 分区存在，但你不能直接用 mount 来挂载它。你须要用 cryptsetup luksOpen 及
luksClose 来访问这个分区。因此，这就证明了你的分区是安全的。一如既往，请修正任何错漏、留下改善推荐、等等。另外，也多谢
clasohm.net 协助将 /tmp 及 /swap 加密，以及提供在开机时挂载 /tmp 的脚本。
加入 LUKS 金钥
你应该可以为一个加密的设备加入四至五条金钥，因此假若你需要允许另一个人访问磁盘，请这样做。
# cryptsetup luksAddKey /dev/vg0/home
有关调整 LVM 尺寸的备注
由于你进行了加密，这个短小的备注是关于日后调整 LVM 尺寸。你可以使用正常的指令，但你须要紧记一件事：当你将逻辑磁盘区扩展后，你须要使用加密了的映射设备来调整尺寸，而不是一般的 LVM 路径。
# lvextend -L+512M /dev/vg0/home
# resize2fs /dev/mapper/home
