## 概念是什么
磁盘被拔走、下架返修、退役处置，这些时刻数据以明文暴露。LUKS 是 Linux 的块设备加密标准，在文件系统之下加一层加密，落盘数据全部为密文，没有密钥读不出任何内容，开机时通过口令或密钥文件解锁。它保护的是静态数据，运行中的系统看起来与普通磁盘无异。
## 背后原理
LUKS 在分区头部存放加密元数据与若干密钥槽，口令解开密钥槽得到主密钥，主密钥负责实际的数据加解密。多个密钥槽允许多人各持一个口令，改一个人的口令不影响其他人。加解密由内核加密子系统在块层完成，现代 CPU 的加密指令让开销降到日常几乎无感，密集 IO 场景的损耗在个位数百分比量级。
cryptsetup luksFormat /dev/vdb cryptsetup luksOpen /dev/vdb vault mkfs.xfs /dev/mapper/vault cryptsetup luksAddKey /dev/vdb
## 最小实操
数据盘加密的流程：格式化为 LUKS 分区；打开为映射设备；在映射设备上建文件系统并挂载。开机自动解锁靠 crypttab 条目指向密钥文件，密钥文件本身放在受控目录或另一加密介质上，等于把信任转移到了密钥文件的保管上。
## 常见错误
忘记口令且没有备份密钥槽，数据彻底不可恢复，加密的强度就是忽略口令的强度。密钥文件与数据放同一块盘，保护形同虚设。顺云云服务器上做加密盘要权衡运维成本：平台快照回滚后密钥流程是否畅通，重装系统时数据盘的密钥是否在手，演练一次再上生产。
性能与监控的补充：加密盘的 IO 路径多了加解密一层，密集随机写场景用 fio 实测对比，确认损耗在可接受范围；CPU 的加密指令可用性决定开销大小，同配置不同代次的机器表现可能差一截。加密盘的监控再加一项：解锁状态与密钥槽健康，批量机器上未解锁的加密盘要在开机检查清单里暴露出来，而不是等到应用报错才发现。备份策略同样要区分：密文备份与明文备份的风险等级不同，异地备份建议保持密文形态。