10使用加密目录cryptctl#

作为根运行:

#cryptctl init-server

回答以下每个提示并按下输入每次回答之后。如果有默认答案，则在提示符的末尾用方括号显示。

1. 选择至少10个字符的密码并确认。此密码承担主密码的角色，能够解锁在服务器上注册的所有分区。

2. 请指定pem编码的TLS证书或证书链文件的路径，或将该字段留空以创建自签名证书。如果指定路径，请使用绝对路径。

3. 如果您希望服务器由显示的默认主机名以外的主机名标识，请指定主机名。cryptctl将生成包含主机名的证书。

4. 指定属于要侦听来自客户机的解密请求的网络接口的IP地址，然后设置一个端口号(默认为端口3737)。

   默认IP地址设置，0.0.0.0意味着cryptctl将在所有网络接口上监听使用IPv4的客户端请求。

5. 在服务器上指定存放客户端解密密钥的目录。

6. 指定客户端是否需要使用TLS证书向服务器进行身份验证。如果你愿意没有，这意味着客户端仅使用磁盘uuid进行身份验证。(但是，在任何情况下，通信都将使用服务器证书进行加密。)

   如果你愿意是的，选择一个pem编码的证书颁发机构用于签署客户端证书。

7. 指定是否使用兼容KMIP 1.3的服务器(或多个这样的服务器)存储客户端的加密密钥。如果选择此选项，请为一个或多个与kmip兼容的服务器提供主机名和端口。

   此外，为KMIP服务器提供用户名、密码、CA证书和客户机身份证书cryptctl服务器。

   

   重要:不容易重新配置KMIP设置

   以后不能轻易更改使用KMIP服务器的设置。要更改此设置，请同时使用cryptctl服务器及其客户端需要重新配置。

8. 最后，为加密和解密请求的电子邮件通知配置一个SMTP服务器，或者将提示符保留为空以跳过设置电子邮件通知。

   

   注意:密码保护服务器

   cryptctl目前无法使用身份验证保护的SMTP服务器发送电子邮件。如果有必要，可以设置一个本地SMTP代理。

9. 当问到是否开始时cryptctl服务器,输入y．

查询服务状态cryptctl-server使用:

#Systemctl status cryptctl-server

作为根运行:

#cryptctl加密

回答以下每个提示并按下输入每次回答之后。如果有默认答案，则在提示符的末尾用方括号显示。

1. 上指定要连接的主机名和端口cryptctl服务器。

2. 如果您将服务器配置为让客户端使用TLS证书向其进行身份验证，请为客户端指定证书和密钥文件。客户端证书必须由设置服务器时选择的证书颁发机构签名。

3. 指定服务器证书的绝对路径* .crt文件)。

4. 输入设置服务器时指定的加密密码。

5. 指定要加密的目录的路径。指定将包含目录加密内容的空分区的路径。

6. 指定允许同时解密该分区的计算机数量。

   然后指定在从客户机接收到最后一个生命体征后允许其他计算机解密该分区之前的超时时间(以秒为单位)。

   当一台机器意外地停止工作，然后重新启动时，它需要能够再次解锁其分区。这意味着，这个超时时间应该设置为略短于客户机重启时间的时间。

   

   重要:超时长度

   如果时间设置得太长，机器无法在第一次尝试时解密加密分区。cryptctl然后将继续定期检查加密密钥是否可用。然而，这将导致延迟。

   如果超时设置得太短，那么拥有加密分区副本的计算机首先解锁该分区的机会就会增加。

开始加密，输入是的．

cryptctl现在将指定的目录加密到以前的空分区，然后挂载新加密的分区。文件系统类型将与原始的未加密文件系统类型相同。

在创建加密分区之前，cryptctl将原始目录的未加密内容移动到前缀为cryptctl-moved -．

要检查目录是否正确挂载，请使用:

>lsblk -o名称，挂载点，UUID命名挂载点uuid[…]] SDC├─sdc1PARTITION_UUID└─cryptctl-unlocked-sdc1 / secret-partitionUNLOCKED_UUID

cryptctl通过其UUID标识加密分区。对于前面的示例，这就是旁边显示的UUIDsdc1．

在服务器端，可以查看该目录是否被解密cryptctl：

#cryptctl list-keys2016/10/10 10:00:00 ReloadDB: successfully loaded database of 1 records Total: 1条记录(date and time are in zone EDT) Used By When UUID Max。Users Num.Users挂载点IP_ADDRESS2016-10-10 10:00:00UUID1 1 /secret-partition

验证显示的UUID是之前加密分区的UUID。

在确认加密分区工作正常后，从客户端删除未加密的内容。例如，使用rm．为了更加安全，请在删除文件之前覆盖它们的内容，例如使用分解- u．

重要的是:分解不能保证数据被完全擦除

根据存储介质的类型，使用分解并不能保证所有数据都被完全删除。具体地说，ssd通常采用磨损均衡策略分解无效的。