Я собирался спросить об этом, поэтому рад, что уже есть ответ. У меня есть несколько вопросов: Есть ли потеря производительности при установке на Debian (фактически превращая его в гипервизор типа 2?) или это действительно предлагает больше возможностей? Какие опасности вы бы отметили в случае незашифрованной установки Proxmox на голом железе, если все ВМ зашифрованы? Если его украдут, что может произойти худшего? Если у меня есть вторичная вложенная ВМ Proxmox (Proxmox в Proxmox), будет ли путь через Debian единственным способом, чтобы вторая тоже была зашифрована? Есть ли способ зашифровать объем, на котором хранятся ВМ? Спасибо.

Спасибо, это то, что я искал!

Есть ли какие-либо недостатки в использовании этого метода по сравнению с установкой Debian, зашифрованной с помощью LUKS?

Это все еще должна быть система типа 1 HV. Распределение ProxmoxVE также основано на Debian с настраиваемым ядром Ubuntu. Если установить пакеты proxmox на чистый Debian, то стандартное ядро Debian будет заменено на настраиваемое ядро Proxmox, так что по сути это то же самое, что и обычное распределение ProxmoxVE. Не уверен. Но если хотите обезопасить себя, полное шифрование системы — всегда лучший вариант. У шифрования диска Proxmox OS я вижу только 2 недостатка. 1.) Вы не можете использовать ZFS. Аппаратный RAID или программный RAID с использованием mdraid все еще возможны, но оба варианта не так безопасны. Вы не получите таких функций, как предотвращение битовых ошибок и так далее, если не используете CEPH/ZFS. А mdraid официально не поддерживается, поэтому никто не проверяет, ухудшает ли обновление ваш массив mdraid. 2.) Это сложно и требует больше времени для настройки. Вы можете создать раздел позже и использовать LUKS/ZFS в качестве зашифрованного хранилища для ВМ. Для этого вам не нужен путь через Debian. В обоих случаях вы получаете модифицированный Debian, и можете делать все, что может делать обычный Debian. Но я думаю, что вложенная виртуализация будет полезна только для целей тестирования.

Как мне зашифровать том, используемый для хранения ВМ? Если я правильно помню, можно выбрать только том, который еще не отформатирован? Кроме того, если этот том зашифрован, разве нет необходимости шифровать каждую отдельную ВМ?