Ubuntu系统Swap分区加密完整指南：两种主流方法详解

为Ubuntu系统的交换分区（Swap）启用加密，是强化Linux系统安全性的关键步骤。由于Swap分区可能临时存储敏感的程序内存数据，对其进行加密能有效防止物理访问或磁盘取证时的信息泄露。本文将详细介绍两种在Ubuntu下实现Swap加密的实用方案，您可以根据现有的磁盘管理方式选择最适合的一种。

方法一：使用LUKS直接加密独立Swap分区

这是最传统且直接的方式，适用于已经存在独立Swap分区或计划新建独立分区的场景。

1. 重要数据备份

   • 在进行任何磁盘操作前，请务必备份所有关键数据。这是保障数据安全不可省略的前提步骤。

2. 创建LUKS加密Swap分区

   • 核心工具是cryptsetup。首先，请确认您要加密的Swap分区设备标识，例如/dev/sdb2。

   sudo cryptsetup luksFormat /dev/sdb2

   • 执行命令后，系统会提示您设置并确认一个强密码，用于保护加密容器。

3. 解锁加密的Swap分区

   • 创建完成后，需要“打开”这个加密容器，以便系统能够识别和使用：

   sudo cryptsetup open /dev/sdb2 swap_encrypted

   • 此处需要输入上一步设置的密码。swap_encrypted是映射后的设备名称，可根据习惯自定义。

4. 格式化并启用加密Swap

   • 解锁后，需要将其格式化为Swap文件系统：

   sudo mkswap /dev/mapper/swap_encrypted

   • 随后，立即激活这个加密的Swap空间：

   sudo swapon /dev/mapper/swap_encrypted

5. 配置开机自动挂载

   • 为确保每次系统启动都能自动解锁并挂载加密Swap，需要修改两个关键配置文件。
   • 首先，编辑/etc/crypttab，添加以下行，告知系统需要解密的设备：

   swap_encrypted /dev/sdb2 none luks

   • 接着，编辑/etc/fstab，添加以下行，配置解密后设备的挂载方式：

   /dev/mapper/swap_encrypted none swap sw 0 0

6. 重启验证配置

   • 最后，重启Ubuntu系统以验证所有配置是否正确生效：

   sudo reboot

方法二：基于LVM和dm-crypt加密Swap逻辑卷

如果您的Ubuntu系统已使用LVM（逻辑卷管理器）管理磁盘，此方法更为灵活高效，特别适合在逻辑卷上创建和管理加密Swap。

1. 备份数据

   • 同样，在开始操作前，请确保所有重要数据已备份。

2. 创建或使用现有LVM卷组

   • 如果尚未有合适的卷组，可以创建一个。例如，将物理分区/dev/sdb2加入名为vg_swap的新卷组：

   sudo vgcreate vg_swap /dev/sdb2

3. 创建并加密LVM逻辑卷

   • 在卷组内创建一个指定容量（例如4GB）的逻辑卷，并完成加密与启用操作：

   sudo lvcreate -L 4G -n lv_swap vg_swap
   sudo cryptsetup luksFormat /dev/vg_swap/lv_swap
   sudo cryptsetup open /dev/vg_swap/lv_swap swap_encrypted
   sudo mkswap /dev/mapper/swap_encrypted
   sudo swapon /dev/mapper/swap_encrypted

4. 配置开机自动挂载

   • 配置系统启动时自动处理加密逻辑卷。编辑/etc/crypttab，注意设备路径需指向LVM路径：

   swap_encrypted /dev/vg_swap/lv_swap none luks

   • 编辑/etc/fstab，添加的挂载信息与第一种方法相同：

   /dev/mapper/swap_encrypted none swap sw 0 0

5. 重启系统应用更改

   • 完成所有配置后，重启系统以使加密Swap设置永久生效：

   sudo reboot

遵循以上任一详细流程，您即可在Ubuntu系统中成功部署加密的Swap空间。这相当于为系统的内存交换数据增加了一层坚固的加密保护，显著提升了整体数据安全级别，是构建安全Linux环境的重要实践。