# Proxmox VE 9 auf verschlüsseltem Debian 13 mit Dropbear-Remote-Unlock installieren Diese Anleitung beschreibt die Installation von Proxmox VE 9 auf einem bereits installierten Debian 13 System mit verschlüsseltem Root-Dateisystem via LUKS. Das System wird vor dem Boot per `dropbear-initramfs` über SSH entsperrt. Zusätzlich wird ein zweiter verschlüsselter lokaler Storage für VM-Disks und ISO-Dateien eingerichtet. **Ausgangslage in diesem Beispiel:**

- Debian 13 Trixie ist bereits installiert. - Root liegt auf LUKS + LVM. - `/boot` und `/boot/efi` sind unverschlüsselt. - `dropbear-initramfs` funktioniert bereits. - Der Server wird als `root` administriert. - Hostname: `byte-me` - Management-IP: `10.100.3.13`

--- ## 1. Bestehende Partitionierung prüfen ``` lsblk df -h uname -r ``` Beispielhafte Zielstruktur für das Systemlaufwerk: ``` nvme0n1 ├─nvme0n1p1 /boot/efi ├─nvme0n1p2 /boot └─nvme0n1p3 crypto_LUKS └─nvme0n1p3_crypt ├─broken--vg-root / └─broken--vg-swap_1 [SWAP] ``` **Wichtig:** `/boot` ist bei verschlüsselten Debian-Installationen oft klein. Proxmox-Kernel und Initramfs-Dateien können sehr groß werden. Vor der Installation sollte ausreichend Platz geschaffen werden. --- ## 2. Alten Debian-Kernel bereinigen Aktuell laufenden Kernel prüfen: ``` uname -r ``` Installierte Kerneldateien prüfen: ``` ls -lh /boot dpkg -l 'linux-image*' 'linux-headers*' | awk '/^ii|^rc/ {print $1, $2, $3}' ``` Wenn mehrere alte Kernel vorhanden sind, zuerst in den neuesten Debian-Kernel booten und danach alte Kernel entfernen. Beispiel: ``` apt purge linux-image-6.12.85+deb13-amd64 apt autoremove update-grub df -h /boot ``` Falls das Paket anders heißt, den Besitzer der Kerneldatei ermitteln: ``` dpkg -S /boot/vmlinuz-6.12.85+deb13-amd64 ``` Dann das exakt passende Paket entfernen, zum Beispiel: ``` apt purge linux-image-6.12.85+deb13-amd64-unsigned ``` --- ## 3. Proxmox Repository einrichten Benötigte Werkzeuge installieren: ``` apt install -y wget ca-certificates ``` Proxmox-Keyring für Debian 13 / Trixie herunterladen: ``` wget https://enterprise.proxmox.com/debian/proxmox-archive-keyring-trixie.gpg -O /usr/share/keyrings/proxmox-archive-keyring.gpg ``` Hash prüfen: ``` sha256sum /usr/share/keyrings/proxmox-archive-keyring.gpg ``` Erwarteter Hash: ``` 136673be77aba35dcce385b28737689ad64fd785a797e57897589aed08db6e45 /usr/share/keyrings/proxmox-archive-keyring.gpg ``` Repository-Datei anlegen: ``` cat > /etc/apt/sources.list.d/proxmox.sources <<'EOF' Types: deb URIs: http://download.proxmox.com/debian/pve Suites: trixie Components: pve-no-subscription Signed-By: /usr/share/keyrings/proxmox-archive-keyring.gpg EOF ``` Paketlisten aktualisieren: ``` apt update ``` --- ## 4. Proxmox-Kernel installieren Zuerst nur den Proxmox-Kernel installieren, noch nicht das komplette Proxmox-Paket: ``` apt install proxmox-default-kernel ``` Danach GRUB prüfen: ``` update-grub ``` Erwartet wird ein Eintrag ähnlich zu: ``` Found linux image: /boot/vmlinuz-7.0.2-2-pve Found initrd image: /boot/initrd.img-7.0.2-2-pve ``` --- ## 5. Initramfs-Größe bei kleinem /boot reduzieren Bei kleinem `/boot` kann der Proxmox-Initramfs zu groß werden. In diesem Setup wurde die Kompression von `zstd` auf `xz` geändert. Datei öffnen: ``` nano /etc/initramfs-tools/initramfs.conf ``` Diese Zeile ändern: ``` COMPRESS=zstd ``` zu: ``` COMPRESS=xz ``` `MODULES=most` wurde bewusst beibehalten, damit Netzwerk- und Storage-Treiber für Dropbear/LUKS möglichst robust im Initramfs enthalten bleiben. Proxmox-Initramfs neu bauen: ``` update-initramfs -c -k 7.0.2-2-pve ``` Prüfen: ``` df -h /boot ls -lh /boot/initrd.img-7.0.2-2-pve ``` --- ## 6. In den Proxmox-Kernel booten ``` reboot ``` Nach dem Reboot wie gewohnt per Dropbear entsperren. Danach prüfen: ``` uname -r ``` Erwartet: ``` 7.0.2-2-pve ``` --- ## 7. Debian-Kernel entfernen Nachdem der Proxmox-Kernel erfolgreich gebootet wurde, können die Debian-Kernel entfernt werden. Das schafft Platz in `/boot` und verhindert spätere Initramfs-Probleme. Paketnamen ermitteln: ``` dpkg -S /boot/vmlinuz-6.12.86+deb13-amd64 ``` Falls Debian-Headers den Kernel wieder installieren wollen, Kernel und Headers zusammen entfernen: ``` apt purge linux-image-6.12.86+deb13-amd64-unsigned linux-headers-6.12.86+deb13-amd64 linux-headers-6.12.86+deb13-common linux-headers-amd64 ``` Danach Proxmox-Initramfs erneut bauen: ``` update-initramfs -c -k 7.0.2-2-pve update-grub df -h /boot ``` --- ## 8. ZFS-DKMS entfernen und Proxmox-ZFS verwenden Falls Debian-ZFS bereits installiert war, insbesondere `zfs-dkms`, sollte `zfs-dkms` entfernt werden. Proxmox nutzt eigene Kernel und passende ZFS-Pakete. ZFS-Pakete prüfen: ``` dpkg -l 'zfs*' 'spl*' | awk '/^ii|^rc/ {print $1, $2, $3}' ``` `zfs-dkms` entfernen: ``` apt purge zfs-dkms ``` Falls dabei `zfsutils-linux` und `zfs-zed` entfernt wurden, diese aus dem Proxmox-Repository wieder installieren: ``` apt install zfsutils-linux zfs-zed ``` Prüfen: ``` dpkg -l 'zfs*' 'proxmox*' 'pve*' | awk '/^ii|^rc/ {print $1, $2, $3}' ``` Gewünscht: ``` ii proxmox-default-kernel ... ii proxmox-kernel-7.0 ... ii pve-firmware ... ii zfs-zed ... ii zfsutils-linux ... ``` Nicht gewünscht: ``` ii zfs-dkms ... ``` --- ## 9. Proxmox VE installieren ``` apt install proxmox-ve postfix open-iscsi chrony ``` Bei der Postfix-Abfrage kann für einen normalen Proxmox-Host gewählt werden: ``` Local only ``` Entfernungen während der Installation sind normal: - `exim4-*` wird durch `postfix` ersetzt. - `ifupdown` wird durch `ifupdown2` ersetzt. - `systemd-timesyncd` wird durch `chrony` ersetzt. --- ## 10. Hostname-Auflösung für Proxmox korrigieren Proxmox benötigt, dass der Hostname auf eine echte Nicht-Loopback-IP zeigt. Wenn `pve-cluster` nicht startet und im Journal steht: ``` Unable to resolve node name 'byte-me' to a non-loopback IP address ``` dann muss `/etc/hosts` angepasst werden. Datei öffnen: ``` nano /etc/hosts ``` Beispiel: ``` 127.0.0.1 localhost 10.100.3.13 byte-me.localdomain byte-me # The following lines are desirable for IPv6 capable hosts ::1 localhost ip6-localhost ip6-loopback ff02::1 ip6-allnodes ff02::2 ip6-allrouters ``` **Wichtig:** Der Hostname `byte-me` darf nicht auf `127.0.0.1` oder `127.0.1.1` zeigen. Prüfen: ``` hostname hostname -f getent hosts byte-me ``` Erwartung: ``` byte-me byte-me.localdomain 10.100.3.13 byte-me.localdomain byte-me ``` Proxmox-Dienste neu starten: ``` systemctl reset-failed pve-cluster systemctl restart pve-cluster systemctl restart pvedaemon pveproxy pvestatd ``` Status prüfen: ``` systemctl status pve-cluster pvedaemon pveproxy pvestatd --no-pager ``` Erwartung: ``` pve-cluster active pvedaemon active pveproxy active pvestatd active ``` Weboberfläche: ``` https://10.100.3.13:8006/ ``` --- # Verschlüsselten lokalen VM-Storage einrichten Zusätzlich wurde eine zweite NVMe als verschlüsselter Storage für VMs und ISO-Dateien eingerichtet. In diesem Beispiel: ``` /dev/nvme1n1 ``` **Achtung:** Die folgenden Schritte löschen die Zielplatte. Nicht auf dem Systemlaufwerk ausführen. --- ## 11. Zielplatte prüfen ``` lsblk -o NAME,SIZE,TYPE,FSTYPE,MOUNTPOINTS,MODEL wipefs -n /dev/nvme1n1 ``` Beispiel: ``` nvme1n1 953,9G disk SKHynix_HFS001TEJ9X162N ``` --- ## 12. Partition erstellen ``` fdisk /dev/nvme1n1 ``` In `fdisk`: ``` g n 1 y w ``` Danach prüfen: ``` lsblk -o NAME,SIZE,TYPE,FSTYPE,MOUNTPOINTS,MODEL /dev/nvme1n1 ``` Erwartung: ``` nvme1n1 953,9G disk └─nvme1n1p1 953,9G part ``` --- ## 13. LUKS2 sicher formatieren ``` cryptsetup luksFormat \ --type luks2 \ --label crypt-vmstore \ --cipher aes-xts-plain64 \ --key-size 512 \ --hash sha512 \ --pbkdf argon2id \ --iter-time 5000 \ --verify-passphrase \ /dev/nvme1n1p1 ``` Eine lange Passphrase verwenden. Keine kurzen Passwörter, keine Projektnamen, keine Tastaturmuster. --- ## 14. LUKS öffnen In diesem Beispiel wurde der Mapper `exploding_disk` genannt. ``` cryptsetup open /dev/nvme1n1p1 exploding_disk ``` Prüfen: ``` lsblk /dev/nvme1n1p1 ``` Erwartung: ``` nvme1n1p1 └─exploding_disk ``` --- ## 15. LUKS-Header sichern Ein LUKS-Header-Backup ist wichtig. Wenn der Header beschädigt wird, sind die Daten sonst praktisch verloren. ``` mkdir -p /root/luks-header-backups chmod 700 /root/luks-header-backups cryptsetup luksHeaderBackup /dev/nvme1n1p1 \ --header-backup-file /root/luks-header-backups/nvme1n1p1-crypt-vmstore-header.img chmod 400 /root/luks-header-backups/nvme1n1p1-crypt-vmstore-header.img ``` Dieses Header-Backup sollte zusätzlich extern und sicher verschlüsselt gesichert werden. Ohne passenden Header und ohne Passphrase sind die Daten nicht wiederherstellbar. --- ## 16. LVM auf dem entschlüsselten Device erstellen ``` pvcreate /dev/mapper/exploding_disk vgcreate vg_vmstore /dev/mapper/exploding_disk ``` Prüfen: ``` vgs pvs ``` Erwartung: ``` VG VSize VFree vg_vmstore 953,85g 953,85g ``` --- ## 17. LVM-thin für VM-Disks erstellen ``` lvcreate -L 850G -T vg_vmstore/vmdata ``` Prüfen: ``` lvs ``` Beispiel: ``` LV VG Attr LSize vmdata vg_vmstore twi-a-tz-- 850,00g ``` --- ## 18. ISO-Storage erstellen ``` lvcreate -L 60G -n iso vg_vmstore mkfs.ext4 -L pve-iso /dev/vg_vmstore/iso mkdir -p /mnt/pve/iso-store ``` UUID anzeigen: ``` blkid /dev/vg_vmstore/iso ``` Beispiel: ``` /dev/vg_vmstore/iso: LABEL="pve-iso" UUID="0f1496f7-d7ad-4e97-9243-cff799d44e5e" BLOCK_SIZE="4096" TYPE="ext4" ``` --- ## 19. ISO-Storage in /etc/fstab eintragen ``` nano /etc/fstab ``` Eintrag ergänzen: ``` UUID=0f1496f7-d7ad-4e97-9243-cff799d44e5e /mnt/pve/iso-store ext4 defaults,noatime 0 2 ``` Systemd neu laden und Mount testen: ``` systemctl daemon-reload mount -a df -h /mnt/pve/iso-store ``` --- ## 20. Storage in Proxmox eintragen LVM-thin für VM- und Container-Disks: ``` pvesm add lvmthin vmstore \ --vgname vg_vmstore \ --thinpool vmdata \ --content images,rootdir ``` Directory-Storage für ISOs und Container-Templates: ``` pvesm add dir iso-store \ --path /mnt/pve/iso-store \ --content iso,vztmpl ``` Status prüfen: ``` pvesm status ``` Beispiel: ``` Name Type Status Total (KiB) Used (KiB) Available (KiB) % iso-store dir active 61611820 2084 58447624 0.00% local dir active 477545328 154494456 298719404 32.35% vmstore lvmthin active 891289600 0 891289600 0.00% ``` --- # Optional: Automatisches Entsperren des zweiten LUKS-Storage Ein Keyfile auf dem verschlüsselten Root-Dateisystem ist komfortabel, reduziert aber die Trennung der Sicherheitsstufen. Ohne Keyfile braucht ein Angreifer bei Diebstahl beider Platten Root-Passphrase und Storage-Passphrase. Mit Keyfile reicht die Root-Passphrase, weil danach das Keyfile verfügbar ist. ## Variante A: Maximale Trennung Kein Keyfile verwenden. Nach jedem Boot manuell entsperren: ``` cryptsetup open /dev/nvme1n1p1 exploding_disk vgchange -ay vg_vmstore mount -a ``` VM-Autostart für VMs auf diesem Storage sollte dann deaktiviert werden, weil der Storage nach dem Boot zunächst fehlt. ## Variante B: Komfortabler Auto-Unlock nach Root-Unlock Keyfile auf verschlüsseltem Root-Dateisystem erstellen: ``` mkdir -p /root/luks-keys chmod 700 /root/luks-keys dd if=/dev/random of=/root/luks-keys/exploding_disk.key bs=64 count=1 chmod 400 /root/luks-keys/exploding_disk.key ``` Keyfile zu LUKS hinzufügen: ``` cryptsetup luksAddKey /dev/nvme1n1p1 /root/luks-keys/exploding_disk.key ``` LUKS-UUID anzeigen: ``` blkid /dev/nvme1n1p1 ``` `/etc/crypttab` bearbeiten: ``` nano /etc/crypttab ``` Eintrag ergänzen: ``` exploding_disk UUID=DEINE-LUKS-UUID-HIER /root/luks-keys/exploding_disk.key luks ``` Systemd neu laden: ``` systemctl daemon-reload ``` --- # Ceph-Zukunftsplanung Für später geplante drei Proxmox-Nodes mit Ceph gilt: - Die aktuell lokal genutzte NVMe muss später für Ceph gelöscht werden. - VMs müssen vorher vom lokalen Storage auf Ceph migriert werden. - Ceph-OSDs sollten später direkt über Proxmox/Ceph mit Encryption erstellt werden. - Nicht vorher manuell LUKS + LVM bauen und dann Ceph darüberlegen. Geplanter späterer Ablauf: ``` 1. PVE 2 und PVE 3 installieren 2. Cluster erstellen 3. Dediziertes 10G-Netz für Ceph konfigurieren 4. Ceph installieren 5. Auf allen Nodes freie NVMe als verschlüsselte Ceph-OSD einrichten 6. Ceph-Pool erstellen 7. VM-Storage auf Ceph RBD anlegen 8. VMs vom lokalen vmstore auf Ceph migrieren 9. Lokalen LUKS/LVM-Storage auf nvme1n1 entfernen 10. nvme1n1 als Ceph-OSD neu verwenden ``` Mit nur einem Node ist Ceph nicht sinnvoll redundant. Für produktive Ceph-Nutzung sollten mindestens drei Proxmox-Nodes vorhanden sein. --- # Wichtige Checks nach der Einrichtung ``` dpkg --audit df -h /boot uname -r pvesm status lsblk -o NAME,SIZE,TYPE,FSTYPE,MOUNTPOINTS vgs lvs systemctl status pve-cluster pvedaemon pveproxy pvestatd --no-pager ``` Erwartung: ``` Kernel: 7.0.2-2-pve /boot nicht voll pve-cluster active pvedaemon active pveproxy active pvestatd active vmstore active iso-store active ``` --- # Zusammenfassung - Debian 13 mit LUKS-Root und Dropbear-Remote-Unlock wurde als Basis verwendet. - Proxmox VE 9 wurde auf Debian installiert. - Der Proxmox-Kernel wurde zuerst einzeln installiert und getestet. - `/boot`-Probleme wurden durch Entfernen alter Debian-Kernel und `COMPRESS=xz` behoben. - `zfs-dkms` wurde entfernt und Proxmox-ZFS verwendet. - Hostname-Auflösung wurde für `pve-cluster` korrigiert. - Eine zweite NVMe wurde mit LUKS2 verschlüsselt. - Darauf wurde LVM-thin für VM-Disks eingerichtet. - Ein ext4-LV wurde als ISO-/Template-Storage eingebunden. - Späterer Ceph-Betrieb ist möglich, erfordert aber Migration und Neuanlage der Disk als Ceph-OSD.