在外置硬盘上，加密安装 ubuntu
内容提要
本文介绍了在便携硬盘盒上安装Linux（Ubuntu/Zorin）的步骤，包括加密系统分区和创建逻辑卷组以提高系统安全性。同时提供了操作建议和注意事项。
延伸解读
加密范围与分区策略
文章建议只加密系统分区，保留一个未加密分区作为普通移动硬盘使用。这样既保护了系统数据，又方便日常文件交换。分区结构包括EFI引导分区、LUKS加密分区（内含LVM逻辑卷）和普通分区。这种设计平衡了安全性与便利性，但需注意加密分区一旦忘记密码将无法恢复。
安装前的关键准备
安装前强烈建议在BIOS中暂时卸载内置硬盘，避免安装程序误操作导致数据丢失。使用Ubuntu 22.04及以上版本时，安装镜像已内置cryptsetup等工具，无需联网即可完成加密安装。制作USB启动盘后，选择Try Ubuntu进入试用环境，再进行分区和加密操作。
手动加密与LVM配置
通过终端命令对系统分区进行LUKS加密，并创建LVM逻辑卷组，划分swap和根分区。在Ubuntu安装程序中选择手动分区，将逻辑卷格式化为ext4并挂载。安装过程中需在GRUB中启用加密，并在chroot后添加密钥文件、更新initramfs，确保系统能自动解锁加密分区。
密码管理与风险提示
硬盘加密密码用于防止他人直接访问硬盘数据，但无法防御系统运行时的入侵。密码一旦忘记，数据将永久丢失，且目前更改密码可能导致系统无法启动。因此，设置一个既复杂又便于记忆的密码至关重要，并建议在安装时一次性设置妥当。
Q&A
为什么要在移动硬盘上安装Ubuntu而不是直接使用全盘加密？
因为全盘加密会导致整个硬盘无法作为普通移动硬盘使用。本文的需求是保留一个未加密分区，以便硬盘也能作为普通移动硬盘存储数据。
安装前需要在BIOS中做什么准备？
强烈建议在BIOS中暂时卸载内置的其他硬盘，以避免安装过程中误操作或引导冲突。
如何对系统分区进行加密并创建LVM逻辑卷？
使用cryptsetup luksFormat --type=luks1 /dev/sda2加密分区，然后cryptsetup open /dev/sda2 hd2_crypt解锁，接着用pvcreate、vgcreate、lvcreate创建逻辑卷组和swap、root分区。
安装过程中如何确保GRUB支持加密启动？
在安装程序创建用户界面时，先切换到终端，执行命令：while [ ! -d /target/etc/default/grub.d ]; do sleep 1; done; echo "GRUB_ENABLE_CRYPTODISK=y" > /target/etc/default/grub.d/local.cfg，然后再继续安装。
安装后如何设置密钥文件以避免每次启动输入两次密码？
chroot进入新系统后，创建密钥文件并添加到LUKS和crypttab，然后更新initramfs。具体命令包括：dd创建密钥文件、cryptsetup luksAddKey添加密钥、编辑/etc/crypttab、运行update-initramfs -u -k all。
硬盘加密密码有什么作用和风险？
密码用于防止他人拿到硬盘后查看文件，但无法防止系统登录后的入侵。忘记密码将永久无法访问硬盘数据，且目前更改密码可能导致系统无法启动。
