Partitioneren van laptop SSD, met luks

[aawe mwan]

Ik heb een tweedehands laptop gekocht, waar ik Linux Mint op wil installeren.

Wat ik wil voorkomen is dat als ik die laptop ergens buitenshuis verlies, dat dan meteen al mijn SSH keys en dergelijke zomaar door een ander gebruikt kunnen worden. Daarom wil ik LUKS gaan gebruiken om de hele SSD te versleutelen.

Daarom zit ik te denken aan deze verdeling in partities:

• (Een UEFI partitie)
• Helft van de SSD als een "root" partitie, met daarop ook /boot en een swapfile
• Helft van de SSD als een /home partitie

Wat ik gelezen heb is dat GRUB2 kan booten vanaf een partitie die met LUKS2 versleuteld is, daardoor is het tegenwoordig niet meer nodig om een onversleutelde /boot partitie te maken.

Ik bewaar de userbestanden graag op een aparte partitie, zodat ik in de "root"-partitie redelijk risicoloos een andere Linux kan installeren. Alleen van de /home-partitie maak ik backups; al het persoonlijke dat op de "root"-partitie staat kan ik met Ansible opnieuw genereren.

Wat ik gelezen heb is dat als je in de standaard Linux Mint installatie aanvinkt dat je luks wilt gebruiken, dat hij dan altijd ook LVM installeert. Maar LVM schijnt niet handig te zijn.

Het is de bedoeling om de partities op btrfs te gaan draaien.

Ik gebruik geen dual-boot oid.

Vragen:
Is mijn combinatie een handige keuze?
Hoe kan ik het installeren het handigst aanpakken? Het lijkt me namelijk niet echt een standaard installatie.

[Hero of Time]

Ik heb m'n zakelijke laptop voorzien van LUKS en gebruik hiermee LVM en ext4. Je kan natuurlijk gewoon btrfs gebruiken. Maar voor LUKS is het zo dat elke partitie die je maakt een passphrase moet krijgen. Maak je 2 partities aan, dan heb je dus ook 2 passphrases om in te vullen bij het opstarten. Met LVM voorkom je dat, omdat de 'fysieke' partitie een LVM physical volume is.

Met btrfs kan je subvolumes gebruiken. Ik heb mij niet verdiept hierin, maar het klinkt als iets vergelijkbaars als LVM, alleen dan native in het file system zelf. Dus effectief 1 partitie en daarin definieer je de volumes, / en /home in jouw geval. Maar swap heeft weer een eigen file system (raw). Wil je die ook encrypten, dan heb je alsnog een extra passphrase nodig.

Wat handig is, is volledig afhankelijk wat je zelf wilt. Je kan met Clevis namelijk LUKS volumes automatisch unlocken door bepaalde hardware te gebruiken. Denk aan TPM of een usb stick met een key erop.