外观
LUKS 磁盘加密
完成后，一块数据盘被 LUKS 加密：盘被拿走、退役或送修时，别人读不到里面的数据；你在 OMV 里解锁它，就可以像普通盘一样创建文件系统、建共享文件夹。
适合谁
- 担心硬盘被盗、丢失，或者将来要退役、返修、转卖。
- 能接受每次开机都要解锁，或者愿意配置自动解锁。
它不能做的事：
- 不防勒索软件。盘解锁并挂载后，系统和里面的程序看到的是明文。
- 不防
root权限被攻破的 NAS。 - 不加密系统盘。这个插件管理的是数据盘上的 LUKS 容器。
- 不是备份。加密盘坏了或头部损坏，数据同样没了。
用 ZFS 的话可以直接用它自带的加密，见 ZFS 插件，不需要再叠一层 LUKS。
口令丢了就是数据丢了，创建会清空整块盘
- 影响范围：创建加密容器会格式化所选磁盘，盘上原有数据全部消失；删除容器会擦除全部密钥槽和完整的 LUKS 头部，数据永远无法恢复；口令丢失、头部损坏而没有头部备份，数据同样无法恢复，没有任何后门。
- 前置条件：在
存储器 → 磁盘（Storage → Disks）里按型号和序列号核对目标盘，只选空盘；先想好口令放在哪（密码管理器 + 一份离线纸质副本，放在 NAS 之外）；已经备份好要放进来的数据。 - 怎么回退：创建后立刻后悔，可以对还没写数据的容器执行删除。已经有数据时没有回退，所以创建完成后第一件事是添加第二个口令并备份头部，见下文。
插件信息
| 项 | 内容 |
|---|---|
| 包名 | openmediavault-luksencryption |
| 来源 | omv-extras |
| OMV 8 状态 | 截至 2026-10-22 的 omv-extras synchrony 软件源为 8.1.6（amd64、arm64） |
| 菜单位置 | 存储器 → 加密（Storage → Encryption） |
| 依赖 | cryptsetup、systemd-cryptsetup 等；使用 Tang 或 TPM2 自动解锁时，会通过 Salt 自动安装 Clevis |
先装 omv-extras，再在 系统 → 插件（System → Plugins）里安装。
官方中文译名会误导
这个插件的中文翻译里，Lock 被译成「加密」，表头 Unlocked 被译成「锁定」，字面意思和功能相反；很多按钮和提示还没有中文。认英文原文和图标：Unlock 是解锁，Lock 是重新锁上。
配置与使用
创建加密容器
存储器 → 加密→ 创建（Create）。- 选设备（device），密码（Cipher，其实是加密算法）保持默认
aes-xts-plain64，填标签（Label，要符合共享名的命名规则）、口令（Passphrase，官方中文显示为「密钥」）并确认。 - 保存。等任务完成，容器出现在列表里。
解锁，建文件系统，建共享
- 选中容器，点 解锁（Unlock），输入口令。允许丢弃（Allow discards）会把 TRIM 传给底层 SSD，但会让文件系统级操作在物理设备上可见，插件提示这有负面的安全影响，不确定就不勾。
- 到
存储器 → 文件系统（Storage → File Systems）创建文件系统，设备选解锁后出现的已加密设备，挂载。见 创建并挂载文件系统。 - 创建共享文件夹，见 共享文件夹。创建后点黄色提示条上的应用。
没有解锁的容器里的文件系统不可用，相应的共享文件夹显示为 Unavailable，引用它的服务会失败。
添加第二个口令，备份头部
加密的核心是头部和密钥槽。创建后马上做：
- 密钥（Keys）菜单 → 添加（Add）：再加一个口令，存到另一个地方。变更（Change）、移除（Remove）、测试（Test）、擦除 slot（Erase slot）也在这里。插件会拒绝移除或擦除最后一个密钥。
- 备份 header（Backup header）：下载头部备份文件。这个文件加上当时有效的口令就能解开数据，要当成机密保管，放在离线的加密位置，不要和盘放在一起。
自动解锁
启用自动解锁（Enable auto-unlock）需要输入一个现有口令，并在 Method 里选方法（这几个字段官方中文无译，界面显示英文）：
| 方法 | 做法 | 防什么 | 注意 |
|---|---|---|---|
| 密钥文件（默认） | 在本机 /etc/luks-keys/<容器 UUID> 存一个随机密钥文件，仅 root 可读，并加入密钥槽 | 防盘被单独偷走 | 密钥和盘在同一台机器上，整机被偷就等于连密钥一起拿走 |
| Tang 服务器 | 填 Tang server URL，可选填 Tang key thumbprint（Tang 服务器签名密钥的指纹）；通过 Clevis 绑定，本机不存密钥 | 防整机被偷：离开那个网络就解不开 | 开机时必须连得上 Tang；指纹留空则信任服务器当时给出的密钥 |
| TPM2 | 绑定本机的 TPM2 芯片 | 防盘被拿到别的机器 | 主板更换、TPM 清除后会解不开，要靠口令；需要系统里有 TPM 设备 |
| Tang 加 TPM2 | 两者都满足才解锁 | 两种保护叠加 | 任何一个不在都无法自动解锁 |
插件写入 /etc/crypttab 的条目带 nofail，自动解锁失败不会卡住开机，但容器会保持锁定。停用自动解锁会同时删除对应的密钥或绑定；如果这个自动解锁密钥是容器里的最后一个密钥，插件会拒绝停用，先添加口令。
检查结果
- 容器列表里，解锁后的状态为已解锁，文件系统页出现了新设备并显示已挂载。
- 在 OMV 的 shell（root）里只读查看头部和密钥槽，把
<设备>换成加密设备，例如sdb：
sh
cryptsetup luksDump /dev/<设备>至少应有两个使用中的密钥槽（主口令和备用口令），自动解锁会多占一个。 3. 用测试（Test）菜单验证每个口令都能解锁。 4. 锁定容器后，确认共享变为不可用；再解锁，恢复。 5. 重启一次，验证自动解锁（若启用）或手动解锁流程。
备份与维护
- 口令与头部备份：这是数据的命脉。口令存在密码管理器和离线副本里；头部备份存在另一处加密存储里。每次变更口令后更新备份。
- 数据备份：加密盘上的数据照样要独立备份，并做 恢复演练，演练里要包括「只用口令和头部备份在另一台机器上解锁」。
- 更换口令：用变更，不要先移除旧口令。
- 升级：8.1.6 加固了头部恢复、密钥删除和路径转义，保持更新。
- 卸载插件：不会解密盘，只是失去管理界面，容器上的数据仍需要口令才能打开。
常见问题
开机后共享没了。 容器没解锁。手动解锁，或配置自动解锁；解锁后文件系统会自动挂载。
配置了 Tang，开机仍然锁着。 Tang 服务器当时不可达，或指纹不匹配。条目带 nofail，系统会继续启动，手动输入口令解锁。
TPM2 自动解锁失效了。 硬件或固件变化会让绑定失效，用口令解锁后重新启用自动解锁。
删不掉容器。 插件拒绝删除已解锁的容器和还在被引用的设备；先卸载文件系统、取消引用、锁定，再删除。删除不可逆。
想要对 SSD 开 TRIM。 解锁时勾选允许丢弃，并了解它的安全影响。SSD 维护见 SSD、NVMe 与 TRIM。
参考资料
- 插件源码：openmediavault-luksencryption
- LUKS 与 cryptsetup 的 FAQ：gitlab.com/cryptsetup/cryptsetup/-/wikis/FrequentlyAskedQuestions
- Clevis 与 Tang：github.com/latchset/clevis