Szyfrowanie partycji (ZFS) za pomocą eli

W systemie FreeBSD jest dostępna partycja szyfrowana (geom_eli). Można skorzystać z tego rodzaju partycji, w celu ochrony ważnych informacji. Korzystałem z przepisów zawartych w następujących miejscach w sieci:

https://www.dan.me.uk/blog/2012/05/06/full-disk-encryption-with-zfs-root-for-freebsd-9-x/ - szyfrowanie całej partycji root-owej, z wyjątkiem /boot. Wymagane podanie hasła przy starcie systemu
http://blog.experimentalworks.net/2008/03/setting-up-an-encrypted-zfs-with-freebsd/ - analogiczne, ale konfiguracja przeniesiona do /etc/rc.conf zamiast /boot/loader.conf.

Polecenia do wykonanie

Poniższe przedstawia kroki wykonane na domowym serwerze:

# tymczasowo wgranie modulu
kldload geom_eli

# przygotowanie klucza do szyfrowania
mkdir -p /boot/zfs/sec
dd if=/dev/random of=/boot/zfs/sec/encryption.key bs=4096 count=1

echo "MojeTajneHaslo" > /boot/zfs/sec/passphrase
chmod 0400 /boot/zfs/sec/passphrase

# inicjalizacja eli
geli init -b -B /boot/zfs/bootdir/ada2p2.eli -e AES-XTS -J /boot/zfs/sec/passphrase -K /boot/zfs/bootdir/encryption.key -l 256 -s 4096 /dev/ada2p2
geli init -b -B /boot/zfs/bootdir/ada3p2.eli -e AES-XTS -J /boot/zfs/sec/passphrase -K /boot/zfs/bootdir/encryption.key -l 256 -s 4096 /dev/ada3p2
geli init -b -B /boot/zfs/bootdir/ada4p2.eli -e AES-XTS -J /boot/zfs/sec/passphrase -K /boot/zfs/bootdir/encryption.key -l 256 -s 4096 /dev/ada4p2

geli attach -k /boot/zfs/bootdir/encryption.key /dev/ada2p2
geli attach -k /boot/zfs/bootdir/encryption.key /dev/ada3p2
geli attach -k /boot/zfs/bootdir/encryption.key /dev/ada4p2

# utworzenie pooli dyskow
zpool create -O mountpoint=/raid/2 -O exec=off -O setuid=off -O atime=off -O canmount=noauto raidz1 storage2 /dev/ada2p2.eli /dev/ada3p2.eli /dev/ada4p2.eli

/boot/loader.conf

aesni_load="YES"

/etc/rc.conf

geli_devices="ada2p2 ada3p2 ada4p2"
geli_ada2p2_flags="-j /boot/zfs/sec/passphrase -k /boot/zfs/bootdir/encryption.key"
geli_ada3p2_flags="-j /boot/zfs/sec/passphrase -k /boot/zfs/bootdir/encryption.key"
geli_ada4p2_flags="-j /boot/zfs/sec/passphrase -k /boot/zfs/bootdir/encryption.key"
geli_autodetach="NO"

Szyfrowanie tylko partycji SWAP

Wszystko podano w tym rozdziale dokumentacji FreeBSD.