用於加密儲存的 VPS（LUKS，對侷限性坦誠）

"加密 VPS" 是許多主機商隨口掛在嘴邊、卻不說它防什麼的說法。我們寧願直說，因為在意這件事的人在意準確。您可以在 VPS 上執行加密儲存——一個用口令解鎖的 LUKS 加密資料卷——它確實保護您靜止時的資料。它做不到的，是讓一個執行中的伺服器對控制物理硬體的人隱形。這就是它坦誠的樣子，以及如何設定。

VPS 上的加密能做什麼——不能做什麼

真實的一面： LUKS 卷在鎖定時是密文。關掉伺服器，或者乾脆不解鎖卷，檔案在沒有您口令的情況下就不可讀。一塊退役、冷映像或在關機狀態被扣押的磁碟交不出任何可讀內容。這是真實且值得的保護——而且這是大多數人常見的威脅（退役磁碟、冷備份映像、隨意存取）。

不真實的一面： 只要卷已掛載且伺服器在執行，加密金鑰就在記憶體裡，提供商在您的虛擬機器之下執行虛擬化層。任何 VPS 上的全盤加密——我們的或任何人的——都無法保護一個正在執行、已解鎖的卷免受物理機器堅定操作者的侵入。任何承諾相反情況的主機都是在過度承諾。我們不會。

所以：靜止時真實的保護，執行時誠實的侷限。對於一個您在閒置時保持不可讀的私人資料儲存，這個取捨是值得的——再配上無 KYC 註冊，使該儲存從一開始就不與您的身分掛鉤。

設定一個 LUKS 加密卷（Ubuntu 24.04）

# encrypt a data file/volume with LUKS; keep the passphrase OFF the server
apt update && apt install -y cryptsetup

# create a 20 GB encrypted container (or point at a raw data disk)
fallocate -l 20G /srv/secure.img
cryptsetup luksFormat /srv/secure.img        # sets your passphrase
cryptsetup luksOpen  /srv/secure.img secure  # unlock → /dev/mapper/secure
mkfs.ext4 /dev/mapper/secure
mkdir -p /mnt/secure && mount /dev/mapper/secure /mnt/secure
# your files live in /mnt/secure — ciphertext once closed

重新啟動後，卷會保持鎖定，直到您自己解鎖它：

cryptsetup luksOpen /srv/secure.img secure   # enter passphrase over SSH
mount /dev/mapper/secure /mnt/secure

絕不要把口令存在伺服器上。 手動解鎖（或透過您的 SSH 工作階段傳入），使金鑰只在您使用時存在於記憶體裡。不要把它放進啟動指令碼——那就白費了。

再說一次誠實的範圍

• 保護： 靜止的資料——關機、解鎖前、冷備份映像、退役磁碟。
• 不保護： 一個正在執行、已解鎖的卷免受擁有物理/虛擬化層控制者的侵入。
• 本身不是匿名： 您的伺服器仍有公用 IP 和線路上的流量。這關乎靜止資料的機密性，配合無 KYC 計費。

如果您的威脅模型是法律壓力而非被盜磁碟，更有意義的訊號是我們的 warrant canary——一份帶日期的宣告：我們未收到任何秘密指令或削弱安全的要求，並保持更新。一個您能盯著看的 canary，勝過一個您無法驗證的加密徽章。另見 坦誠的匿名 VPS 剖析，瞭解無 KYC 給您帶來什麼、不給您什麼。

為什麼用 EQVPS 做加密儲存

• 完整 root，因此 LUKS 和您的解鎖流程完全歸您——沒有提供商金鑰託管，除非您選擇，否則沒有啟動時儲存的口令。
• 無 KYC，加密貨幣付款。 註冊用電子郵件，付款用 USDC/USDT——儲存不與您的身分焊死。
• 歐盟，真正的資料保護法，一個公開的 warrant canary，約 60 秒拿到 root。

匿名 VPS，無 KYC——誠實版本 → · 自託管 Vaultwarden（加密保險庫）→

VPS 全盤加密：它到底保護了什麼 →

如何用 restic 備份 VPS（加密、異地存放） →