3 Fragen zu Luks

Um unter Fedora Core 42 (FC42) ein UEFI-kompatibles Partitionsschema mit den gewünschten Anforderungen zu erstellen, gehst du wie folgt vor: **Ziel:** - UEFI-System (benötigt eine EFI System Partition) - /boot als separate Partition (unverschlüsselt) - / (root) und /home als LVM-Volumes, verschlüsselt mit LUKS ### 1. Partitionierung (z.B. mit dem Fedora-Installer oder manuell mit `gdisk`/`parted`) **Empfohlene Aufteilung:** 1. **EFI System Partition (ESP):** - Typ: EFI System Partition - Größe: 300–500 MB - Dateisystem: FAT32 - Mountpoint: `/boot/efi` 2. **/boot Partition:** - Typ: Linux filesystem - Größe: 1–2 GB - Dateisystem: ext4 - Mountpoint: `/boot` 3. **LUKS-verschlüsselte Partition für LVM:** - Typ: Linux filesystem - Größe: Restlicher Speicherplatz - Diese Partition wird später mit LUKS verschlüsselt und als LVM Physical Volume genutzt. ### 2. LUKS-Verschlüsselung und LVM einrichten Angenommen, die Partitionen sind wie folgt: - `/dev/sda1` = EFI - `/dev/sda2` = /boot - `/dev/sda3` = LUKS+LVM **a) LUKS einrichten:** ```bash cryptsetup luksFormat /dev/sda3 cryptsetup open /dev/sda3 lvmcrypt ``` **b) LVM einrichten:** ```bash pvcreate /dev/mapper/lvmcrypt vgcreate vg0 /dev/mapper/lvmcrypt lvcreate -L 30G -n root vg0 # Beispielgröße für / lvcreate -l 100%FREE -n home vg0 # Rest für /home ``` **c) Dateisysteme anlegen:** ```bash mkfs.ext4 /dev/vg0/root mkfs.ext4 /dev/vg0/home mkfs.ext4 /dev/sda2 # /boot mkfs.fat -F32 /dev/sda1 # EFI ``` ### 3. Mounten für die Installation ```bash mount /dev/vg0/root /mnt mkdir /mnt/home mount /dev/vg0/home /mnt/home mkdir /mnt/boot mount /dev/sda2 /mnt/boot mkdir /mnt/boot/efi mount /dev/sda1 /mnt/boot/efi ``` ### 4. Installation Im Fedora-Installer (Anaconda) kannst du diese Schritte auch im manuellen Partitionsmodus durchführen. Wähle dazu "Benutzerdefinierte Partitionierung" und setze die Mountpoints wie oben beschrieben. Für die LUKS+LVM-Konfiguration gibt es im Installer entsprechende Optionen. ### 5. Hinweise - Der Fedora-Installer erkennt in der Regel automatisch, dass für UEFI eine EFI-Partition benötigt wird. - `/boot` muss außerhalb der LUKS-Verschlüsselung liegen, damit der Bootloader darauf zugreifen kann. - Die eigentliche Verschlüsselung und LVM-Konfiguration kannst du entweder vor der Installation manuell machen (wie oben beschrieben) oder im Installer selbst. **Weitere Infos:** - [Fedora Docs: Disk Partitioning](https://docs.fedoraproject.org/en-US/fedora/latest/install-guide/advanced/Disk_Partitioning/) - [Fedora Docs: LUKS and LVM](https://docs.fedoraproject.org/en-US/quick-docs/encrypting-your-data-with-luks/) Damit hast du ein sicheres, UEFI-kompatibles Partitionsschema mit verschlüsseltem LVM für `/` und `/home`.

Das ext4-Dateisystem selbst bietet keine native Verschlüsselung auf Dateisystemebene wie z.B. LUKS/dm-crypt (Blockgeräte-Verschlüsselung). Allerdings unterstützt ext4 seit Linux 4.1 die sogenannte **Filesystem-level Encryption** (fscrypt), auch als "ext4 native encryption" bekannt. Diese Verschlüsselung funktioniert auf Verzeichnisebene und ist nicht mit LUKS/dm-crypt zu verwechseln. **Voraussetzungen:** - Linux-Kernel ≥ 4.1 (besser ≥ 5.x) - e2fsprogs ≥ 1.43 - Das Paket `fscrypt` (https://github.com/google/fscrypt) **Schritte zur Erstellung und Nutzung:** 1. **Dateisystem anlegen (wie gewohnt):** ```bash mkfs.ext4 /dev/sdXn ``` 2. **Mounten:** ```bash mount /dev/sdXn /mnt/mydata ``` 3. **fscrypt installieren:** - Unter Debian/Ubuntu: ```bash sudo apt install fscrypt ``` - Unter Fedora: ```bash sudo dnf install fscrypt ``` 4. **Dateisystem für fscrypt vorbereiten:** ```bash sudo fscrypt setup /mnt/mydata ``` 5. **Verschlüsseltes Verzeichnis anlegen:** ```bash sudo mkdir /mnt/mydata/secret sudo fscrypt encrypt /mnt/mydata/secret ``` Du wirst nach einem Passwort gefragt und kannst ggf. weitere Optionen wählen. 6. **Verwendung:** - Nach dem Mounten des Dateisystems musst du das Verzeichnis mit `fscrypt unlock` freischalten: ```bash fscrypt unlock /mnt/mydata/secret ``` - Danach kannst du wie gewohnt auf das Verzeichnis zugreifen. **Wichtige Hinweise:** - Die Verschlüsselung gilt **nur für die so eingerichteten Verzeichnisse**, nicht für das gesamte Dateisystem. - Die Metadaten (z.B. Verzeichnisstruktur) sind teilweise weiterhin sichtbar. - fscrypt ist **kein Ersatz für LUKS/dm-crypt**, aber für viele Anwendungsfälle ausreichend. **Weitere Infos:** - [fscrypt GitHub](https://github.com/google/fscrypt) - [Kernel-Dokumentation](https://www.kernel.org/doc/html/latest/filesystems/fscrypt.html) **Zusammenfassung:** Ein "nativ verschlüsseltes ext4-Dateisystem" ohne LUKS/dm-crypt erreichst du mit `fscrypt` auf Verzeichnisebene. Das Dateisystem wird wie gewohnt erstellt und gemountet, die Verschlüsselung erfolgt dann gezielt auf Verzeichnisse mit Hilfe von `fscrypt`.

Hier ist eine Schritt-für-Schritt-Anleitung, wie du Fedora mit UEFI, separater /boot-Partition, verschlüsseltem LVM (LUKS) und zwei Logical Volumes (/ und /home) installierst: --- ### Voraussetzungen - Fedora-Installationsmedium (USB/DVD) - Backup wichtiger Daten (falls nötig) - Grundkenntnisse im Umgang mit dem Fedora-Installer (Anaconda) --- ### 1. Fedora-Installer starten Starte den Rechner vom Fedora-Installationsmedium und wähle „Install Fedora“. --- ### 2. Sprache und Tastatur auswählen Wähle die gewünschte Sprache und Tastaturbelegung. --- ### 3. Ziel-Festplatte auswählen Gehe zu **„Installation Destination“**. --- ### 4. Partitionierung: Manuelle Partitionierung wählen Wähle **„Custom“** (Benutzerdefiniert) für die Partitionierung. --- ### 5. Partitionen anlegen #### a) EFI-Systempartition (ESP) - **Typ:** EFI System Partition - **Größe:** 300–500 MB - **Mountpoint:** `/boot/efi` - **Dateisystem:** FAT32 #### b) /boot-Partition - **Typ:** Standardpartition - **Größe:** 1–2 GB - **Mountpoint:** `/boot` - **Dateisystem:** ext4 #### c) LUKS-verschlüsseltes Volume für LVM - **Typ:** Standardpartition - **Größe:** Restlicher Speicherplatz - **Verschlüsselung:** Aktivieren (LUKS-Passwort setzen) - **Verwendung:** LVM --- ### 6. LVM einrichten (innerhalb des verschlüsselten Containers) Nach dem Anlegen der verschlüsselten Partition: - Erstelle eine neue **Volume Group** (z.B. `fedora`). - Lege darin zwei **Logical Volumes** an: - **root** (z.B. 30–50 GB, je nach Bedarf) - **Mountpoint:** `/` - **Dateisystem:** ext4 oder xfs - **home** (Restlicher Platz) - **Mountpoint:** `/home` - **Dateisystem:** ext4 oder xfs --- ### 7. Zusammenfassung prüfen Überprüfe die Partitionierung in der Übersicht. Es sollte so aussehen: | Partitionstyp | Größe | Mountpoint | Besonderheit | |---------------|------------|--------------|---------------------| | EFI | 300–500 MB | /boot/efi | FAT32, UEFI | | /boot | 1–2 GB | /boot | ext4 | | LUKS | Rest | - | verschlüsselt, LVM | | LV root | z.B. 40 GB | / | ext4/xfs, in LVM | | LV home | Rest | /home | ext4/xfs, in LVM | --- ### 8. Installation fortsetzen - Klicke auf „Begin Installation“. - Setze Benutzer und Root-Passwort. - Warte, bis die Installation abgeschlossen ist. --- ### 9. Nach der Installation - Entferne das Installationsmedium. - Starte das System neu. - Beim Booten wirst du nach dem LUKS-Passwort gefragt. --- ### Hinweise - Fedora verwendet standardmäßig XFS für `/` und `/home`, ext4 ist aber auch möglich. - Die Partitionierung kann im Detail leicht variieren, je nach Installer-Version. - Für weitere Details siehe die [offizielle Fedora-Dokumentation](https://docs.fedoraproject.org/en-US/fedora/latest/system-administrators-guide/). --- **Tipp:** Wenn du die Partitionierung lieber per Kommandozeile machen möchtest (z.B. mit `cryptsetup`, `pvcreate`, `vgcreate`, `lvcreate`), kann ich dir auch die passenden Befehle nennen. --- **Weitere Infos:** - [Fedora Installation Guide](https://docs.fedoraproject.org/en-US/fedora/latest/install-guide/) - [Fedora LUKS & LVM Guide](https://docs.fedoraproject.org/en-US/quick-docs/creating-and-using-lvm-volumes/) --- Falls du eine bestimmte Stelle genauer erklärt haben möchtest, stelle bitte eine präzise Frage dazu!