En Debian 12, se puede cifrar una partición de intercambio dedicada con una clave aleatoria nueva cada vez que se inicia el sistema. Añada una asignación de clave aleatoria en /etc/crypttab, y luego apunte /etc/fstabal dispositivo asignado; la configuración que se muestra a continuación utiliza la partición existente y no requiere reinstalar Debian.
Este procedimiento es para el intercambio de memoria habitual, no para la hibernación (suspensión a disco). Dado que la clave se descarta al apagar el sistema, una imagen de hibernación no se puede descifrar en el siguiente arranque. Si necesita hibernar, utilice un diseño de clave persistente con su propia configuración de reanudación.
Asegúrese de tener una partición independiente cuyo tipo de sistema de archivos sea swap. No utilice la partición raíz, una partición de datos ni un disco que contenga archivos que necesite. Los nombres de dispositivos de ejemplo que aparecen a continuación son ilustrativos: sustitúyalos por los valores de su propio sistema.
Verifique las áreas de intercambio activas y compárelas con la lista de dispositivos de bloques:
swapon --show --output=NAME,TYPE,SIZE,USED,PRIO
lsblk -o NAME,PATH,TYPE,FSTYPE,UUID,PARTUUID,SIZEEncuentra la fila donde TYPEestá party FSTYPEestá swap. Registra su PARTUUIDy confirma que es la misma partición que muestra swapon --show. Un PARTUUIDidentifica la partición en sí y permanece estable cuando se recrea el área de intercambio. El UUID del sistema de archivos de intercambio puede cambiar porque la asignación cifrada se inicializa de nuevo al arrancar.
Realice una copia de seguridad /etc/fstabantes de editarlo. Si la partición está en uso, desactive únicamente el área de intercambio:
sudo cp -a /etc/fstab "/etc/fstab.before-cryptswap.$(date +%s)"
sudo swapoff /dev/nvme0n1p3Reemplazar /dev/nvme0n1p3con el dispositivo verificado. Deshabilitar el intercambio de memoria mueve las páginas almacenadas allí de vuelta a la memoria principal. Si el comando falla o la máquina tiene mucha memoria disponible, deténgase aquí, cierre las tareas que consuman mucha memoria y vuelva a intentarlo cuando haya suficiente RAM disponible.
Abra el archivo crypttab con un editor de usuario root:
sudoedit /etc/crypttabAgregue una línea, reemplazando YOUR-PARTUUIDcon el identificador de partición real. Mantenga el nombre de la asignación cryptswapconsistente en el siguiente paso.
cryptswap PARTUUID=YOUR-PARTUUID /dev/urandom plain,cipher=aes-xts-plain64,size=256,hash=sha1,swap/etc/crypttabIndica a Debian qué dispositivo de bloques cifrado crear al inicio. La PARTUUID=fuente apunta a la partición sin formato; /dev/urandomproporciona una nueva clave; plainselecciona dm-crypt sin un encabezado LUKS persistente; y swapsolicita al asistente crypttab que inicialice el dispositivo mapeado como swap. El cifrado, el tamaño de la clave y el hash se especifican explícitamente, siguiendo el ejemplo crypttab de Debian Bookworm . El mapeo aparece como /dev/mapper/cryptswap. La swapopción se ejecuta mkswapen ese dispositivo mapeado al inicio, por lo que su contenido se reinicializa en cada arranque. Apunte la fuente solo a la partición swap dedicada que verificó; esta opción es destructiva si se dirige a una partición que contiene archivos.
Ahora abre /etc/fstab. Comenta o elimina la línea antigua que habilita la partición de intercambio sin procesar, incluyendo cualquier línea que haga referencia a su UUID de intercambio actual. Agrega esta entrada en su lugar:
/dev/mapper/cryptswap none swap sw 0 0No deje ambas entradas activas: esto podría habilitar la partición sin cifrar junto con la asignación cifrada. El fstabarchivo describe las áreas de intercambio habilitadas durante el arranque, mientras que el generador systemd cryptsetup de Debian lee /etc/crypttaby crea las unidades correspondientes. Consulte el manual del generador systemd cryptsetup de Bookworm y el manual fstab de Debian .
Guarda ambos archivos y reinicia para que Debian pueda crear la asignación durante el arranque:
sudo rebootDespués de iniciar sesión nuevamente, verifique tanto la ruta de intercambio activa como la asignación dm-crypt:
swapon --show
sudo cryptsetup status cryptswapEl listado de intercambio debe nombrar /dev/mapper/cryptswap, no la partición sin formato. La salida de estado de cryptsetup debe mostrar una asignación activa sin formato y la partición subyacente esperada. Esta segunda comprobación es importante: una entrada de intercambio que aparezca en swapon --showpor sí sola no prueba que esté cifrada.
Si falta la asignación, compruebe la ortografía de PARTUUIDy lsblkexamine el registro de arranque con sudo journalctl -b -u systemd-cryptsetup@cryptswap.service. Confirme que la entrada antigua raw-device ya no esté activa en /etc/fstab. No ejecute mkswapdirectamente en la partición raw después de configurar la asignación.
Con una clave nueva generada en cada arranque, el contenido escrito en la memoria de intercambio durante esa sesión se cifra en el dispositivo de bloques, y la clave de la sesión anterior no se conserva tras el apagado. Esto resulta útil cuando se puede apagar un dispositivo y examinar su almacenamiento. No cifra el resto del disco, no protege los datos mientras Debian está en ejecución ni borra automáticamente el texto sin cifrar que pudiera haber quedado en la partición antes de la conversión. Si el contenido antiguo de la memoria de intercambio es confidencial, trate su borrado seguro como una tarea independiente específica del almacenamiento; un reformateo a nivel de sistema de archivos no garantiza un borrado seguro, especialmente en unidades SSD.
La guía de instalación de Bookworm de Debian describe el cifrado de clave aleatoria como adecuado para el intercambio y señala que impide restaurar una imagen de hibernación después del reinicio. Consulte la sección de volúmenes cifrados de la guía de instalación de Debian 12. Para el dispositivo activo, utilice los dos comandos de verificación anteriores: el mapeador debe estar activo y su dispositivo de respaldo debe coincidir con la partición seleccionada.
Configure Nextcloud para que elimine los archivos borrados después de un período de retención definido, programe tareas en segundo plano de forma fiable y evite comandos que vacíen la papelera de todos los usuarios.
Ejecuta la reparación de OCC de Nextcloud de forma segura, previsualiza los cambios en la base de datos y comprueba por qué persiste la advertencia.
Permita la carga de archivos más grandes en el navegador Nextcloud alineando la configuración de PHP, Nginx o Apache, el almacenamiento temporal y el tiempo de espera, y verifique qué límite está bloqueando el archivo.
Establezca el límite de memoria PHP que Nextcloud utiliza realmente, reinicie el servicio correcto y confirme la configuración de 512 MB en la Vista general de administración.
Monta un bucket de almacenamiento de objetos compatible en Nextcloud utilizando su backend S3, con el punto final, las credenciales, el ámbito de acceso y los pasos de verificación correctos.
Traslada de forma segura un directorio de datos de Linux Nextcloud a una unidad externa utilizando un montaje UUID persistente, el modo de mantenimiento, una copia verificada y el enlace simbólico de la ruta original.
Restaure el acceso a Nextcloud después de una actualización diagnosticando errores SQL, comprobando la conectividad de la base de datos y completando de forma segura las migraciones interrumpidas.
Utilice el comando OCC de Nextcloud para restablecer la contraseña de administrador desde la consola del servidor, con instrucciones sobre nombres de usuario, permisos y proveedores de inicio de sesión externos.
Elimine la advertencia HSTS de Nextcloud configurando el encabezado en Apache, NGINX o su proxy TLS, y luego verifique la respuesta HTTPS pública de forma segura.
Identificar los fallos de instalación de la App Store y determinar si se deben a problemas de DNS, HTTPS, proxy, TLS o configuración del propio servidor Nextcloud.
