En Debian 12, se puede cifrar una partición de intercambio dedicada con una clave aleatoria nueva cada vez que se inicia el sistema. Añada una asignación de clave aleatoria en /etc/crypttab, y luego apunte /etc/fstabal dispositivo asignado; la configuración que se muestra a continuación utiliza la partición existente y no requiere reinstalar Debian.
Este procedimiento es para el intercambio de memoria habitual, no para la hibernación (suspensión a disco). Dado que la clave se descarta al apagar el sistema, una imagen de hibernación no se puede descifrar en el siguiente arranque. Si necesita hibernar, utilice un diseño de clave persistente con su propia configuración de reanudación.
Asegúrese de tener una partición independiente cuyo tipo de sistema de archivos sea swap. No utilice la partición raíz, una partición de datos ni un disco que contenga archivos que necesite. Los nombres de dispositivos de ejemplo que aparecen a continuación son ilustrativos: sustitúyalos por los valores de su propio sistema.
Verifique las áreas de intercambio activas y compárelas con la lista de dispositivos de bloques:
swapon --show --output=NAME,TYPE,SIZE,USED,PRIO
lsblk -o NAME,PATH,TYPE,FSTYPE,UUID,PARTUUID,SIZEEncuentra la fila donde TYPEestá party FSTYPEestá swap. Registra su PARTUUIDy confirma que es la misma partición que muestra swapon --show. Un PARTUUIDidentifica la partición en sí y permanece estable cuando se recrea el área de intercambio. El UUID del sistema de archivos de intercambio puede cambiar porque la asignación cifrada se inicializa de nuevo al arrancar.
Realice una copia de seguridad /etc/fstabantes de editarlo. Si la partición está en uso, desactive únicamente el área de intercambio:
sudo cp -a /etc/fstab "/etc/fstab.before-cryptswap.$(date +%s)"
sudo swapoff /dev/nvme0n1p3Reemplazar /dev/nvme0n1p3con el dispositivo verificado. Deshabilitar el intercambio de memoria mueve las páginas almacenadas allí de vuelta a la memoria principal. Si el comando falla o la máquina tiene mucha memoria disponible, deténgase aquí, cierre las tareas que consuman mucha memoria y vuelva a intentarlo cuando haya suficiente RAM disponible.
Abra el archivo crypttab con un editor de usuario root:
sudoedit /etc/crypttabAgregue una línea, reemplazando YOUR-PARTUUIDcon el identificador de partición real. Mantenga el nombre de la asignación cryptswapconsistente en el siguiente paso.
cryptswap PARTUUID=YOUR-PARTUUID /dev/urandom plain,cipher=aes-xts-plain64,size=256,hash=sha1,swap/etc/crypttabIndica a Debian qué dispositivo de bloques cifrado crear al inicio. La PARTUUID=fuente apunta a la partición sin formato; /dev/urandomproporciona una nueva clave; plainselecciona dm-crypt sin un encabezado LUKS persistente; y swapsolicita al asistente crypttab que inicialice el dispositivo mapeado como swap. El cifrado, el tamaño de la clave y el hash se especifican explícitamente, siguiendo el ejemplo crypttab de Debian Bookworm . El mapeo aparece como /dev/mapper/cryptswap. La swapopción se ejecuta mkswapen ese dispositivo mapeado al inicio, por lo que su contenido se reinicializa en cada arranque. Apunte la fuente solo a la partición swap dedicada que verificó; esta opción es destructiva si se dirige a una partición que contiene archivos.
Ahora abre /etc/fstab. Comenta o elimina la línea antigua que habilita la partición de intercambio sin procesar, incluyendo cualquier línea que haga referencia a su UUID de intercambio actual. Agrega esta entrada en su lugar:
/dev/mapper/cryptswap none swap sw 0 0No deje ambas entradas activas: esto podría habilitar la partición sin cifrar junto con la asignación cifrada. El fstabarchivo describe las áreas de intercambio habilitadas durante el arranque, mientras que el generador systemd cryptsetup de Debian lee /etc/crypttaby crea las unidades correspondientes. Consulte el manual del generador systemd cryptsetup de Bookworm y el manual fstab de Debian .
Guarda ambos archivos y reinicia para que Debian pueda crear la asignación durante el arranque:
sudo rebootDespués de iniciar sesión nuevamente, verifique tanto la ruta de intercambio activa como la asignación dm-crypt:
swapon --show
sudo cryptsetup status cryptswapEl listado de intercambio debe nombrar /dev/mapper/cryptswap, no la partición sin formato. La salida de estado de cryptsetup debe mostrar una asignación activa sin formato y la partición subyacente esperada. Esta segunda comprobación es importante: una entrada de intercambio que aparezca en swapon --showpor sí sola no prueba que esté cifrada.
Si falta la asignación, compruebe la ortografía de PARTUUIDy lsblkexamine el registro de arranque con sudo journalctl -b -u systemd-cryptsetup@cryptswap.service. Confirme que la entrada antigua raw-device ya no esté activa en /etc/fstab. No ejecute mkswapdirectamente en la partición raw después de configurar la asignación.
Con una clave nueva generada en cada arranque, el contenido escrito en la memoria de intercambio durante esa sesión se cifra en el dispositivo de bloques, y la clave de la sesión anterior no se conserva tras el apagado. Esto resulta útil cuando se puede apagar un dispositivo y examinar su almacenamiento. No cifra el resto del disco, no protege los datos mientras Debian está en ejecución ni borra automáticamente el texto sin cifrar que pudiera haber quedado en la partición antes de la conversión. Si el contenido antiguo de la memoria de intercambio es confidencial, trate su borrado seguro como una tarea independiente específica del almacenamiento; un reformateo a nivel de sistema de archivos no garantiza un borrado seguro, especialmente en unidades SSD.
La guía de instalación de Bookworm de Debian describe el cifrado de clave aleatoria como adecuado para el intercambio y señala que impide restaurar una imagen de hibernación después del reinicio. Consulte la sección de volúmenes cifrados de la guía de instalación de Debian 12. Para el dispositivo activo, utilice los dos comandos de verificación anteriores: el mapeador debe estar activo y su dispositivo de respaldo debe coincidir con la partición seleccionada.
Configura dnscrypt-proxy como puente DoH local de Pi-hole en Ubuntu 24.04, con un oyente solo para localhost, selección de resolvedor y comprobaciones antes de cambiar el DNS.
Antes de solucionar problemas con las aplicaciones o el hardware, compruebe la configuración del panel táctil de Ubuntu, confirme que se utiliza Wayland y pruebe los gestos táctiles integrados de GNOME.
Cree y verifique una matriz de datos RAID 1 de dos discos para Debian 12, formatéela de forma segura y configúrela para que se ensamble y monte después del reinicio.
Configura el cifrado de clave aleatoria para una partición de intercambio existente en Debian 12, verifica la asignación activa de dm-crypt y comprende las ventajas y desventajas de la hibernación.
Restringir las cuentas SSH de Ubuntu 24.04 a carpetas SFTP designadas mediante chroot, permisos adecuados, reglas de coincidencia y pruebas seguras, sin otorgar acceso a la consola.
Descubre qué proceso posee el bloqueo del frontend dpkg de Ubuntu, deja que el trabajo de paquetes finalice y repara las instalaciones interrumpidas sin eliminar los archivos de bloqueo.
Configure instantáneas programadas del sistema Btrfs en Ubuntu Desktop con Timeshift, verifique la estructura de subvolúmenes de Ubuntu, elija la retención y comprenda qué no pueden proteger las instantáneas.
Planifica una migración más segura de Debian 12 a Testing: actualiza a través de Stable, realiza una copia de seguridad, limpia las fuentes APT, simula cambios en las dependencias y verifica qué ha cambiado.
Diagnostica de forma segura el modo de emergencia de Ubuntu Server. Lee los registros de arranque, comprueba los puntos de montaje raíz y fstab, repara una unidad defectuosa, gestiona los errores del sistema de archivos y verifica un reinicio correcto.
Configura un servidor VPN WireGuard en Debian 12 para un cliente remoto. Configura las claves, el reenvío de IPv4, la traducción de direcciones de red (NAT) con nftables, el acceso al firewall y las comprobaciones de conexión.
