18.16 加密磁盘分区

添加新的硬盘

添加新的硬盘到系统中可以查看在 第 18.3 节 中的说明。 这个例子的目的是说明一个新的硬盘分区已经添加到系统中如： /dev/ad4s1c。在例子中 /dev/ad0s1* 设备代表系统中存在的标准 FreeBSD 分区。

# ls /dev/ad*
/dev/ad0        /dev/ad0s1b     /dev/ad0s1e     /dev/ad4s1
/dev/ad0s1      /dev/ad0s1c     /dev/ad0s1f     /dev/ad4s1c
/dev/ad0s1a     /dev/ad0s1d     /dev/ad4

创建一个目录来保存 gbde Lock 文件

# mkdir /etc/gbde

gbde lock 文件包含了 gbde 需要访问的加密分区的信息。 没有 lock 文件， gbde 将不能解密包含在加密分区上的数据。 每个加密分区使用一个独立的 lock 文件。

初始化 gbde 分区

一个 gbde 分区在使用前必须被初始化， 这个初始化过程只需要执行一次：

# gbde init /dev/ad4s1c -i -L /etc/gbde/ad4s1c.lock

gbde(8) 将打开您的编辑器， 提示您去设置在一个模板文件中的配置变量。 使用 UFS1 或 UFS2，设置扇区大小为 2048：

$FreeBSD: src/sbin/gbde/template.txt,v 1.1 2002/10/20 11:16:13 phk Exp $
#
# Sector size is the smallest unit of data which can be read or written.
# Making it too small decreases performance and decreases available space.
# Making it too large may prevent filesystems from working.  512 is the
# minimum and always safe.  For UFS, use the fragment size
#
sector_size     =       2048
[...]

gbde(8) 将让您输入两次用来加密数据的密钥短语。 两次输入的密钥必须相同。 gbde 保护您数据的能力依靠您选择输入的密钥的质量。 [1]

gbde init 命令为您的 gbde 分区创建了一个 lock 文件， 在这个例子中存储在 /etc/gbde/ad4s1c.lock中。 gbde lock 文件必须使用 “.lock” 扩展名才能够被 /etc/rc.d/gbde 启动脚本正确识别。

把加密分区和内核进行关联

# gbde attach /dev/ad4s1c -l /etc/gbde/ad4s1c.lock

在加密分区的初始化过程中您将被要求提供一个密码短语。 新的加密设备将在 /dev 中显示为 /dev/device_name.bde：

# ls /dev/ad*
/dev/ad0        /dev/ad0s1b     /dev/ad0s1e     /dev/ad4s1
/dev/ad0s1      /dev/ad0s1c     /dev/ad0s1f     /dev/ad4s1c
/dev/ad0s1a     /dev/ad0s1d     /dev/ad4        /dev/ad4s1c.bde

在加密设备上创建文件系统

当加密设备和内核进行关联后， 您就可以使用 newfs(8) 在此设备上创建文件系统， 使用 newfs(8) 来初始化一个 UFS2 文件系统比初始化一个 UFS1 文件系统还要快，摧荐使用 -O2 选项。

# newfs -U -O2 /dev/ad4s1c.bde

挂接加密分区

为加密文件系统创建一个挂接点。

# mkdir /private

挂接加密文件系统。

# mount /dev/ad4s1c.bde /private

校验加密文件系统是否有效

加密的文件系统现在对于 df(1) 应该可见并可以使用。

% df -H
Filesystem        Size   Used  Avail Capacity  Mounted on
/dev/ad0s1a      1037M    72M   883M     8%    /
/devfs            1.0K   1.0K     0B   100%    /dev
/dev/ad0s1f       8.1G    55K   7.5G     0%    /home
/dev/ad0s1e      1037M   1.1M   953M     0%    /tmp
/dev/ad0s1d       6.1G   1.9G   3.7G    35%    /usr
/dev/ad4s1c.bde   150G   4.1K   138G     0%    /private

关联 gbde 分区到内核

# gbde attach /dev/ad4s1c -l /etc/gbde/ad4s1c.lock

接下来系统将提示您输入在初始化加密的 gbde 分区时所用的密码短语。

校验文件系统错误

加密文件系统不能列在 /etc/fstab 文件中进行自动加载， 在加载前必须手动运行 fsck(8) 命令对文件系统进行错误检测。

# fsck -p -t ffs /dev/ad4s1c.bde

挂接加密文件系统

# mount /dev/ad4s1c.bde /private

加密后的文件系统现在可以有效使用。