Disko项目中使用/etc/crypttab实现LUKS分区延迟解密

在Linux系统中管理加密分区时，我们经常会遇到需要在不同阶段解锁不同加密分区的需求。本文将详细介绍如何在Disko项目中配置LUKS加密分区，实现根分区和/home分区的分阶段解密。

问题背景

在使用Disko配置系统时，用户遇到了一个常见问题：系统在启动时总是先尝试解密/home分区，即使/home分区的密钥文件存储在根分区上。这导致了一个先有鸡还是先有蛋的问题——系统需要先解密根分区才能获取/home分区的密钥文件，但却先尝试解密/home分区。

解决方案

Disko提供了灵活的配置选项来解决这个问题。关键在于利用luks.settings.bypassWorkqueue参数，结合手动管理/etc/crypttab文件。

配置核心要点

1. 根分区配置：保持标准LUKS配置，在initrd阶段解密
2. /home分区配置：
   • 设置bypassWorkqueue = true，避免在initrd阶段尝试解密
   • 手动创建/etc/crypttab条目，在系统启动后阶段解密

具体实现

对于根分区，使用标准Disko配置即可。对于/home分区，需要特殊处理：

{
  disko.devices.disk.main = {
    device = "/dev/nvme0n1";
    type = "disk";
    content = {
      type = "gpt";
      partitions = {
        home = {
          size = "100%";
          content = {
            type = "luks";
            name = "home";
            settings = {
              bypassWorkqueue = true;  # 关键配置
              allowDiscards = true;
            };
            extraFormatArgs = [ "--uuid" "your-uuid-here" ];
            content = {
              type = "filesystem";
              format = "ext4";
              mountpoint = "/home";
            };
          };
        };
      };
    };
  };
}

同时，需要在NixOS配置中添加：

{
  environment.etc."crypttab".text = ''
    home /dev/disk/by-uuid/your-uuid-here /etc/secrets/home.key discard
  '';
}

技术原理

1. bypassWorkqueue参数：这个参数告诉系统不要在initrd阶段排队等待解密该设备，而是推迟到系统启动后处理。

2. /etc/crypttab机制：这个文件是标准的Linux加密设备配置表，系统在启动过程中会读取它来解密指定的设备。通过在这里配置/home分区，我们可以确保它在根分区解密后才被处理。

3. 密钥文件位置：密钥文件应该放在根文件系统的/etc/secrets/目录下，这样只有在根分区解密后才能访问到它。

实际应用建议

1. UUID管理：建议使用固定的UUID来标识加密分区，避免因设备顺序变化导致问题。

2. 密钥文件安全：确保密钥文件权限设置为600，并且考虑使用sops-nix等工具进一步保护密钥文件。

3. 测试验证：在正式部署前，建议在虚拟机中测试配置，确保解密顺序符合预期。

通过这种配置方式，我们实现了根分区在initrd阶段解密，而/home分区则在系统启动后阶段解密的流程，完美解决了依赖关系问题。这种方案不仅适用于/home分区，也可以推广到其他需要延迟解密的加密存储设备上。