如何在Linux中设置加密的交换文件？

2017警告！可接受的答案似乎有效，但是在最近的内核中，我发现系统在开始交换后将立即挂起。如果尝试使用加密的交换文件，请确保它实际上正确交换。我花了很长时间才弄清楚为什么我的系统无缘无故地锁定。我回过头来使用加密的交换分区，它可以正常工作。

如何在Linux中设置加密的交换文件（而非分区）？可能吗？我发现的所有指南都讨论了加密的交换分区，但是我没有交换分区，因此我不必重新分区磁盘。

我不需要磁盘暂挂支持，因此我想在每次启动时使用随机密钥。

我已经在使用TrueCrypt文件托管卷来存储我的数据，但是我不想将交换放在该卷中。如果有更好的解决方案，我不打算将TrueCrypt用于交换文件。

如果重要的话，我正在使用带有默认内核的Arch Linux。

的确，该页面描述了如何设置分区，但是对于交换文件却很相似：

dd if=/dev/urandom of=swapfile.crypt bs=1M count=64
loop=$(losetup -f)
losetup ${loop} swapfile.crypt
cryptsetup open --type plain --key-file /dev/urandom ${loop} swapfile
mkswap /dev/mapper/swapfile
swapon /dev/mapper/swapfile

结果：

# swapon -s
Filename                                Type            Size    Used    Priority
/dev/mapper/swap0                       partition       4000176 0       -1
/dev/mapper/swap1                       partition       2000084 0       -2
/dev/mapper/swapfile                    partition       65528   0       -3

swap0和swap1是真实分区。

此配置在启动时使用随机生成的密钥，并且不支持休眠到硬盘！您应该通过自己的DE电源管理实用程序禁用休眠功能，并将其设置为“紧急时关闭”，以避免数据丢失！

确保运行sudo -s或su在运行以下命令之前。

1. 禁用掉期：

   # swapoff -a
   

2. 找到现有的交换分区

   # lsblk
   

   您将获得如下内容：

   sda3    8:3    0     8G  0 part [SWAP]
   

3. 覆盖旧交换

   # dd if=/dev/zero bs=1024000 of=/dev/sda<#>
   

   例如：

   # dd if=/dev/zero bs=1024000 of=/dev/sda3
   

4. fstab 设定

   # vim /etc/fstab
   

   将旧的SWAP设备替换为crypttab映射器名称： /dev/mapper/cswap

   #<file system>      <mount point>   <type>  <options>   <dump>  <pass>
   /dev/mapper/cswap   none            swap    pri=1,defaults  0   0
   

5. 加密设置

   # ls -lF /dev/disk/by-id
   

   例如：

   ata-HGST_HTS545050A7E680_TEK55D4F0BU3GV-part3 -> ../../sda3
   
   # vim /etc/crypttab
   
   # <name>    <device>                            <password>  <options>
     cswap     /dev/disk/by-id/ata-HGST_HTS545050A7E680_TEK55D4F0BU3GV-part3   /dev/urandom    swap,cipher=aes-cbc-essiv:sha256,size=256
   

6. 主动加密交换

   # reboot
   

7. 验证加密交换操作

   例如：

   # dmsetup -C info 
   cswap      253   0 L--w    2    1      0 CRYPT-PLAIN-cswap  
   # lsblk
   ├─sda3                8:3    0     8G  0 part  
   │ └─cswap             253:0    0     8G  0 crypt [SWAP]
   # cat /proc/swaps 
   Filename                Type        Size    Used    Priority
   /dev/dm-0               partition   8385532 0       -1
   

如果使用dd if=/dev/zero of=/swapfile bs=8G count=1，然后使用mkswap /swapfile和swapon /swapfile，则在根文件系统上应该有一个有效的交换文件。（我们dd用来确保交换文件中没有孔）

这样就避免了使用循环设备和/或crypttab的麻烦，只需将交换文件放在已经加密的文件系统中即可。（我们假设您在此处对整个驱动器使用加密。/swapfile如果在其他位置，则在参数前面加上加密目录的路径）

请参阅man mkswap和man swapon了解更多信息。