Debian 文件系统加密方法概览
在 Debian 上，常用的文件系统加密大体分为三类：基于块的 LUKS/dm‑crypt（适合整盘/分区/逻辑卷）、堆叠式文件系统加密（如 eCryptfs、EncFS，适合目录级透明加密）、以及对象级加密（如 GnuPG，适合单文件/归档）。选择时通常权衡：覆盖范围（全盘 vs 目录）、透明性（自动加解密）、性能与复杂度、以及是否需要在未解密前引导系统。
方法对比
| 方法 | 加密层级 | 典型场景 | 优点 | 局限 |
|---|---|---|---|---|
| LUKS/dm‑crypt | 块设备（整盘/分区/LV） | 笔记本/服务器数据盘、系统盘 | 安全性强、支持多密钥槽、开机可解锁、与 LVM/RAID 配合灵活 | 需解锁后才能访问；变更分区/迁移略复杂 |
| eCryptfs | 堆叠式文件系统 | 用户目录（如 /home）选择性加密 | 无需重装系统、按需启用、透明使用 | 仅加密文件内容，元数据可能暴露；需处理缓存/交换 |
| EncFS | 堆叠式文件系统（FUSE） | 目录级加密、跨平台共享 | 易用、配置简单 | 安全性依赖配置；FUSE 性能略低；项目维护状态需关注 |
| GnuPG | 对象级（文件/归档） | 传输/备份的敏感文件 | 通用、可签名、跨平台 | 非透明，需手动加解密；不适合频繁访问的数据集 |
快速上手示例
LUKS/dm‑crypt 加密一个分区（推荐 LUKS2）
sudo apt update && sudo apt install cryptsetuplsblksudo cryptsetup luksFormat --type luks2 /dev/sdXnsudo cryptsetup open /dev/sdXn mycryptsudo mkfs.ext4 /dev/mapper/mycrypt && sudo mount /dev/mapper/mycrypt /mntsudo umount /mnt && sudo cryptsetup close mycrypt
说明：LUKS2 提供更好的扩展性与头部冗余；上述流程同样适用于外置 USB 存储，桌面环境可通过 udisks2 弹窗解锁挂载。eCryptfs 加密用户目录（目录级透明加密）
sudo apt install ecryptfs-utilssudo mount -t ecryptfs ~/encrypted ~/encryptedsudo umount ~/encrypted
提示：eCryptfs 在现有文件系统之上堆叠，适合对 /home 下特定用户目录加密；需关注系统临时目录与交换分区的泄密路径。GnuPG 加密单文件或目录归档（非透明）
sudo apt install gnupggpg --output file.gpg --encrypt --recipient user@example.com filegpg --output file --decrypt file.gpgtar czf - dir/ | gpg --output dir.tar.gz.gpg --encrypt --recipient user@example.com
说明：适合备份/传输；对频繁读写的日常数据不够便捷。进阶配置与运维要点
开机自动解锁与挂载（LUKS）
/etc/crypttab 添加条目（示例）：mycrypt /dev/sdXn none luks/etc/fstab 添加条目（示例）：/dev/mapper/mycrypt /mnt ext4 defaults 0 2crypttab 指定密钥路径并调整权限；系统启动时会提示输入 LUKS 口令或使用密钥文件解锁。与 LVM 组合（灵活分配容量）
pvcreate /dev/sdXn → vgcreate vg_crypt /dev/sdXn → lvcreate -l 100%FREE -n lv_data vg_crypt/dev/vg_crypt/lv_data 执行 cryptsetup luksFormat/open、创建文件系统并挂载；便于后续在线扩容与快照管理。加密交换分区（防止内存内容落盘泄密）
/etc/crypttab 添加：swap_crypt /dev/sdX /dev/urandom swap,noearly/etc/fstab 添加：/dev/mapper/swap_crypt none swap sw 0 0安全性与性能提示