CentOS加密分区挂载与使用完整指南

时间：2026-07-16 06:35

在 CentOS 系统中配置加密分区，步骤看似简单，但实际操作中容易在自动挂载环节遇到问题。只要按照标准流程逐步执行，通常不会出现意外。下面将完整操作步骤详细拆解，并补充几个容易被忽略的注意事项。安装必要的工具加密操作依赖于 cryptsetup 工具，在 CentOS 上直接通过包管理器安装即可

在 CentOS 系统中配置加密分区，步骤看似简单，但实际操作中容易在自动挂载环节遇到问题。只要按照标准流程逐步执行，通常不会出现意外。下面将完整操作步骤详细拆解，并补充几个容易被忽略的注意事项。

安装必要的工具
加密操作依赖于 cryptsetup 工具，在 CentOS 上直接通过包管理器安装即可：
```
sudo yum install cryptsetup
```
这一步是基础，缺少该工具后续所有操作都无法进行。
准备一个空白分区
如果系统中还没有专门用于加密的分区，可以使用 fdisk 或 parted 先划分一块。假设目标磁盘为 /dev/sdX：
```
sudo fdisk /dev/sdX
```
按照提示新建分区，得到例如 /dev/sdX1。注意：该分区上的所有数据将被完全覆盖，重要资料务必提前备份。
执行 LUKS 加密
使用 cryptsetup 对分区进行 LUKS 格式加密：
```
sudo cryptsetup luksFormat /dev/sdX1
```
系统会要求确认操作并设置密码。这里有一个常见误区：密码必须牢记，一旦遗忘，数据将无法恢复。LUKS 对密码强度有一定要求，建议混合使用大小写字母、数字和特殊符号。
解锁加密容器
加密完成后，分区处于锁定状态，需要先解锁才能使用：
```
sudo cryptsetup open /dev/sdX1 encrypted_partition
```
执行后会在 /dev/mapper/ 目录下生成一个映射设备，例如 /dev/mapper/encrypted_partition。后续所有操作都应针对这个映射设备，而不是直接操作 /dev/sdX1。
创建文件系统
映射设备目前是未格式化的裸设备，需要创建文件系统。通常选择 ext4：
```
sudo mkfs.ext4 /dev/mapper/encrypted_partition
```
如果需要使用其他文件系统（如 xfs），替换相应命令即可。但在 CentOS 7 及以后版本中，ext4 的兼容性更好。
手动挂载测试
首先创建挂载点，例如 /mnt/encrypted：
```
sudo mkdir -p /mnt/encrypted
sudo mount /dev/mapper/encrypted_partition /mnt/encrypted
```
此时可以测试读写文件，确认无误后进入下一步。
配置开机自动挂载
这一步最容易出错，需要同时修改两个配置文件。
- 编辑 /etc/crypttab，设置系统在启动时自动解锁：
```
encrypted_partition /dev/sdX1 none luks
```
  注意：第一列为映射名称，第二列为加密设备，第三列可指定密码文件（此处使用 none 表示启动时手动输入密码，安全性更高）。
- 编辑 /etc/fstab，定义挂载参数：
```
/dev/mapper/encrypted_partition /mnt/encrypted ext4 defaults 0 2
```
  最后两个数字的含义：0 表示不进行 dump 备份，2 表示开机时文件系统检查顺序（非根分区通常设为 2）。
重启验证
执行 sudo reboot，系统启动时会提示输入 LUKS 密码。输入正确后，分区将自动挂载到 /mnt/encrypted。通过 df -h 命令可以确认挂载状态。