[ТУТОРИАЛ] Зашифрованная корневая система ZFS на Proxmox.

Sun, 20 Apr 2025 00:58:00 +0300

[ТУТОРИАЛ] Зашифрованная корневая система ZFS на Proxmox. Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
С небольшим патчем ZFSPoolPlugin.pm можно включить миграцию и репликацию на зашифрованных ZFS-датасетах. Процедура описана здесь и протестирована на PROXMOX 8.4.1: Тема 'Разрешить миграцию и репликацию дисков на ZFS зашифрованном хранилище' 28 октября 2022 г.

Привет, я столкнулся с проблемой, что миграция и репликация не работают, если диски находятся на зашифрованном ZFS-хранилище – между прочим, это плохо задокументировано. Проблема возникла, потому что функция экспорта ZFS в pve-storage использует опцию -R в zfs send, а эта опция не работает с зашифрованными датасетами, если не использовать -w тоже. Раз так нельзя передавать данные зашифрованными, раз целевой пул имеет другой ключ шифрования и т.д., возникает вопрос, зачем вообще использовать -R в первую очередь?

Некоторые обсуждения особенностей опции -R свойствами датасета...

selbitschka шифрование zfs

Ответы: 6

Форум: Proxmox VE: Установка и настройка
20.04.2025 00:58:00, SWEETGOOD.

[ТУТОРИАЛ] Зашифрованная корневая система ZFS на Proxmox.

Sat, 05 Apr 2025 23:21:00 +0300

[ТУТОРИАЛ] Зашифрованная корневая система ZFS на Proxmox. Proxmox Виртуальная Среда в форуме Proxmox Виртуальная Среда.
Установщик Proxmox не предоставляет возможности настройки зашифрованного корневого раздела с ZFS, поэтому сначала необходимо установить Debian с зашифрованным ZFS корневым разделом, а затем установить Proxmox поверх него. Данное руководство охватывает некоторые особенности такого подхода. Сначала выполните отличное руководство, написанное авторами ZFS, для установки Debian: https://openzfs.github.io/openzfs-docs/Getting Started/Debian/Debian Bookworm Root on ZFS.html. Схема разделов дисков для справки создана в соответствии с руководством ZFS:

DISK1:
- part1: Раздел совместимости с MBR, не используется.
- part2: Раздел EFI, отформатированный как FAT32.
- part3: Раздел загрузки ZFS, не зашифрован.
- part4: Корневой раздел ZFS, зашифрован с использованием нативной шифровки ZFS.

DISK2:
- part1: Раздел совместимости с MBR, не используется.
- part2: Раздел EFI, отформатированный как FAT32.
- part3: Раздел загрузки ZFS, не зашифрован.
- part4: Корневой раздел ZFS, зашифрован с использованием нативной шифровки ZFS.

Выбрана двухдисковая зеркальная конфигурация с нативной шифровкой ZFS, но можно использовать и шифрование LUKs. Если вы выбрали нативную шифровку ZFS, преимущество в том, что шифрование потребуется вычислять только один раз для обоих дисков, в то время как LUKs потребует двойного шифрования данных. Недостаток использования нативной шифровки ZFS в том, что миграция Proxmox может быть недоступна, как сообщают другие пользователи:

- https://forum.proxmox.com/threads/a...ion-of-disks-on-zfs-encrypted-storage.117227/
- https://forum.proxmox.com/threads/replication-migration-encrypted-zfs-datasets.70572/

Поэтому LUKs может быть лучшим выбором.

После того, как обычный Debian сможет загрузиться, выполните это руководство, чтобы установить Proxmox поверх Debian, но НЕ перезагружайте систему: https://pve.proxmox.com/wiki/Install_Proxmox_VE_on_Debian_12_Bookworm. Это связано с тем, что система не смогла загрузиться после нескольких личных попыток после обновления Grub до версии, предоставляемой репозиториями Proxmox. Следующая цитата дает подсказку, почему:

Гипотеза заключается в том, что дистрибутив Grub от Proxmox по какой-то причине не поддерживает зашифрованный корневой раздел ZFS или ZFS вообще, поэтому вместо этого необходимо использовать загрузчик systemd. Выполните это руководство для установки загрузчика systemd в систему: https://blog.bofh.it/debian/id_465. Но по сути, нужно сделать следующее:

1. `echo "root=ZFS=rpool/ROOT/debian quiet" > /etc/kernel/cmdline`
2. `apt install systemd-boot`
3. `bootctl set-timeout 4` (Необязательно, чтобы упростить отладку.)
4. Найдите ID загрузчика Grub с помощью `efibootmgr`, затем удалите его: `efibootmgr -b -B`.

После того, как система успешно загрузится из systemd boot (по умолчанию метка в NVRAM — "Linux Boot Manager"), выполните остальную часть https://pve.proxmox.com/wiki/Install_Proxmox_VE_on_Debian_12_Bookworm, чтобы Proxmox заработал.

Наконец, чтобы синхронизировать раздел загрузки во время обновления ядра, выполните это руководство: https://pve.proxmox.com/wiki/Host_Bootloader.

По сути:

1. `proxmox-boot-tool format `
2. `proxmox-boot-tool init `

В целом — довольно сложный процесс, но он приводит к рабочей системе.
05.04.2025 23:21:00, kables100.

Аспро: ЛайтШоп [тема: [ТУТОРИАЛ] Зашифрованная корневая система ZFS на Proxmox.]

[ТУТОРИАЛ] Зашифрованная корневая система ZFS на Proxmox.

[ТУТОРИАЛ] Зашифрованная корневая система ZFS на Proxmox.