# Tutoriel installation Debian avec netinst RAID1+LUKS+LVM **URL:** \ **Category:** Trucs et Astuces\ **Tags:** raid1, luks, tutoriel, lvm, installation\ **Created:** [Juin 8, 2025, 10:18 UTC](https://www.debian-fr.org/t/tutoriel-installation-debian-avec-netinst-raid1-luks-lvm/91240 "2025-06-08T10:18:58Z")\ **Posts on this page:** 5\ **Page:** 1
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Juin 8, 2025, 10:18 UTC](https://www.debian-fr.org/t/tutoriel-installation-debian-avec-netinst-raid1-luks-lvm/91240/1 "2025-06-08T10:18:58Z")
Bonjour, Voici un tutoriel sur une installation Debian avec une iso netinst Debian Bookworm 12.11 avec RAID1+LUKS+LVM. Pour les digressions, c’est ici: [Debian installer et RAID1 & digression Simple-cdd: preseeding RAID1 installation - #4 par Zargos](https://www.debian-fr.org/t/debian-installer-et-raid1-disgression-simple-cdd-preseeding-raid1-installation/91145/4) Pour les remarques de forme, c’est ici pour que je corrige. J’ai fait le tutoriel dans la soirée vite fait, Il reste sûrement des coquilles. Pour les remarques de fond, si c’est constructif pour le tutoriel, c’est ici, sinon aller en digression. ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Juin 8, 2025, 10:47 UTC](https://www.debian-fr.org/t/tutoriel-installation-debian-avec-netinst-raid1-luks-lvm/91240/2 "2025-06-08T10:47:24Z")
# Préambule Ce tutoriel a pour but de montrer une installation avec une iso Debian Netinst (ici version Bookworm 12.11) avec RAID1+LUKS+LVM. Le choix est ici fait de passer par une utilisation des options avancées, afin d’avoir plus de choix dans le type d’installation, mais aussi plus de choix dans les options qui suivront tout au long de l’installation. Le choix de l’option Graphic Install est un choix tout à fait possible, mais il y aura moins de choix dans les options d’installations. Si le Secure Boot est activé, l’installation se fera en Secure Boot. # Introduction Faire une installation RAID1+LUKS2+LVM n’est pas de tout repos chez Debian, car l’installateur est totalement incapable de faire une installation correcte de ce type. Une installation correcte implique que **tous** les répertoires sauf `/boot/efi` sont sur `LVM`, donc sur la partition chiffrée `LUKS2`, et qu’elle soit aussi dans une grappe RAID1. Seulement voilà : - Debian impose les partitions RAID avec une version des metadata 1.2. Hors, /boot/efi ne marche pas autrement qu’en metadata version 1.0 ou 0.90 - Debian impose aussi l’argument `pbkdf` en `Argon2i`, certes plus sécurisé. Malheureusement, `GRUB EFI` ne sait pas gérer autre chose que du `pbkdf2` si la partition `/boot` est sur la partition chiffrée. Si `/boot` n’est pas surf la partition chiffrée, alors la sécurisation de l’ensemble est compromise notamment face à une attaque de type `Evil Maid`. Le `Secure Boot` va permettre de ne pas autoriser de démarrer avec un autre disque que le disque original en protégeant le `bootloader`. # Installation Le début de l’installation se fait exactement de la même façon qu’une installation classique (§ [Tutoriel installation Debian avec iso netinst](https://www.debian-fr.org/t/tutoriel-installation-debian-avec-iso-netinst/91224)) C’est au moment du partitionnement que cela change. A ce moment là il faut passer en console pour faire manuellement les partitions de bases des deux disques, et la configuration des grappes RAID1. # Partitionnement manuel Quand on est arrivé dans l’installateur au moment suivant: ![image](https://www.debian-fr.org/uploads/default/original/2X/f/f49d17102a2cf561f6f2046f816b8577d062658b.png) ![image](https://www.debian-fr.org/uploads/default/original/2X/5/5c55bf6528611839abcb1b8c987ca979d737a9a8.png) Il faut passer en console: ![image](https://www.debian-fr.org/uploads/default/original/2X/8/8bd41b86828af8322d037b76056f5be2406c085e.png) ## Création des partitions sur les disques Nous allons créer les partitions à l’identique sur les deux disques telles que : Partition 1 : - Taille 600M - Type : uefi Partition 2 : - Taille : le reste du disque - Type : raid On fait d’abord le premier disque avec les commandes `fdisk` suivantes : ``` g (pour un disklabel gpt) n (nouvelle partition) (on garde le numéro de partition par defaut : 1) (on garde le début par défaut : 2048) +600M (taille de la partition à 600M après le début) Y (supprimer la signature) t (pour changer le type) uefi (Type EFI) n (nouvelle partition) (on garde le numéro de partition par defaut : 2) (on garde le début par défaut : 1230848) (on prend tout le disque restant) Y (supprimer la signature) t (pour changer le type) raid (Type RAID) w (on écrit la partition sur le disque) ``` Ensuite, pour le second disque, il suffit de dupliquer la configuration avec `sfdisk`: `sfdisk -d /dev/sda | sfdisk -f /dev/sdb` ## Création des grappes RAID1 Nous allons créer ensuite les deux grappes RAID1 ; pour la partie EFI il faut impérativement que les metadata soient 1.0 ou 0.9, l’autre partition, destinée à être chiffrée sera en version 1.2 : ``` mdadm –verbose –create /dev/md0 --auto=yes –force –level 1 –raid-devices 2 /dev/sda1 /dev/sdb1 –metadata=1.0 mdadm –verbose –create /dev/md1 --auto=yes –force –level 1 –raid-devices 2 /dev/sda2 /dev/sdb2 –metadata=1.2 ``` Et on vérifie l’état des grappes: ![image](https://www.debian-fr.org/uploads/default/original/2X/d/dfef2af838e079d9836e42756d50ce0d73c7d51e.png) On peut aussi attendre que les grappes soient synchronisées en contrôlant dans `/proc/mdstat`: ``` ~# cat /proc/mdstat Personalities : [raid1] [raid0] [raid6] [raid5] [raid4] [raid10] md1 : active raid1 sda2[0] sdb2[1] 51778560 blocks super 1.2 [2/2] [UU] md0 : active raid1 sda1[0] sdb1[1] 614336 blocks super 1.0 [2/2] [UU] unused devices: ``` ## Suite du partitionnement On revient ensuite sous l’installateur, et on va dans le partitionnement: ![image](https://www.debian-fr.org/uploads/default/original/2X/5/5c55bf6528611839abcb1b8c987ca979d737a9a8.png) Et on passe à la configuration du volume chiffré ![image](https://www.debian-fr.org/uploads/default/original/2X/3/3a34959dd3dc297e40b9c2d7850ed54c754fdc01.png) Valider la configuration actuelle : ![image](https://www.debian-fr.org/uploads/default/original/2X/6/63c78c52fd1b35d59342f376f8b1d7ebe03b28f8.png) On crée le volume chiffré: ![image](https://www.debian-fr.org/uploads/default/original/2X/9/96acd4edde48e0dce7d7fd4cab63e804c422517c.png) Choisir la partition RAID /dev/md1 : ![image](https://www.debian-fr.org/uploads/default/original/2X/4/4f41184804a3fa54914336d0954204cf78874ea6.png) Choisir son chiffrement (j’utilise serpent) : ![image](https://www.debian-fr.org/uploads/default/original/2X/2/2c89b92ba21d7bf6d066333c8ca141e86f821287.png) Note : effacer les données est inutile si le disque est neuf. Confirmer la configuration : ![image](https://www.debian-fr.org/uploads/default/original/2X/3/3e6201a6124485d68b57534af044723ebb62f9fc.png) Pas d’autre volume chiffré à configurer, terminer : ![image](https://www.debian-fr.org/uploads/default/original/2X/3/32f4d26bf7d277f9701fc25b809cec49b72c1d8d.png) Saisir votre clef de chiffrement : ![image](https://www.debian-fr.org/uploads/default/original/2X/b/b4a7162b6d00f554f06dc5fda12d8d9a52cdd351.png) Si votre clef est trop simple, l’installateur va vous le signaler et demander de confirmer (évitez une clef trop simple, sinon le chiffrement ‘a aucune utilité) : ![image](https://www.debian-fr.org/uploads/default/original/2X/c/c2a3d438c3019cb1f600e207358a1b6acb931a77.png) # **Avant de passer à la configuration LVM** , il faut changer le paramètre `PBKDF` de la partition chiffrée. En effet, si Debian impose par défaut `Argon2i`, `GRUB` n’est pas capable de le gérer si `/boot` est sur la partition chiffrée. Pour cela il suffit de modifier la clef ; il faut au préalable créer un fichier de clef temporaire. L’opération se fait bien sur dans une console de l’installateur : ``` ~# echo "maclef" > keyfile.txt ~# cryptsetup luksChangeKey --pbkdf pbkdf2 --keyfile-size 6 --new-keyfile-size 6 --key-file keyfile.txt /dev/md1 keyfile.txt ``` On passe ensuite à la configuration LVM : ![image](https://www.debian-fr.org/uploads/default/original/2X/b/b252cc3a9f57a50dff6b5c201ca48895d6da4fe5.png) En validant la configuration de nouveau : ![image](https://www.debian-fr.org/uploads/default/original/2X/6/643be153d690c071ca294c8415faa9bde4aaa39d.png) Création du groupe de volumes avec la partition chiffrée : ![image](https://www.debian-fr.org/uploads/default/original/2X/3/34e37a383efec450c4b02c5ef8fcd622c42535a5.png) On valide : (oui, il faut valider à chaque étape) ![image](https://www.debian-fr.org/uploads/default/original/2X/f/ffbfb63efe95a9e1eacf19ab44e8b74c4d6775d8.png) Ensuite on crée ses volumes logiques normalement : ![image](https://www.debian-fr.org/uploads/default/original/2X/6/6451339a87c13261e233d1e48b42c1e93d23f1a0.png) On termine : ![image](https://www.debian-fr.org/uploads/default/original/2X/e/ef78f04efe998d680a38b67a813be1a41b0d9615.png) On configure la partition EFI à partir du RAID /dev/md0 : ![image](https://www.debian-fr.org/uploads/default/original/2X/7/717601a398949682ae719323807bfd47c9924916.png) ![image](https://www.debian-fr.org/uploads/default/original/2X/e/e1a9a04acd6d9568d36980a8b2d17eba2cb9c557.png) On configure les points de montages normalement, et une fois terminé, on valide la configuration : ![image](https://www.debian-fr.org/uploads/default/original/2X/4/4e7bd7a2a2538f283a65ab45a139a171612a2252.png) ![image](https://www.debian-fr.org/uploads/default/original/2X/8/80be0c9aaf664443102ff17361899e176df07b8c.png) ## Suite de l’installation On installe le système de base normalement. On configure la gestion des paquets normalement. On choisit et installe les logiciels normalement. Mais ne pas installer le programme de démarrage GRUB (de toute façon ça ne marcherait pas). ![image](https://www.debian-fr.org/uploads/default/original/2X/a/a9a0dccd432bedc1561511d1631d6c56ffea6c42.png) ## Installation de GRUB EFI Il faut repasser en console. On vérifie que les points de montages sont corrects **y compris /boot/efi** en consultant les résultats de `mount`. L’installateur utilise un `chroot` dans `/target`. Ce sont les partitions qui commencent par `/target` qu’il faut vérifier. Pour installer `GRUB` manuellement, il faut passer en `chroot` dans l’environnement cible `/target`. Au préalable, ll faut s’assurer des points de montages suivants : ``` mount -t proc proc /target/proc mount -t sysfs sys /target/sys mount -o bind /dev /target/dev mount -t devpts pts /target/dev/pts ``` on passe en chroot : `chroot /target` on passe en bash : `bash` on s’assure que le module efivarfs est chargé `modprobe -v efivarfs` on installe GRUB et shim : `apt install -y grub-efi-adm64 grub-efi-amd64-signed shim-signed keyutils` on monte `efivarfs` s’il n’est pas déjà monté (un` ls /sys/firmwware/efi/efivars` doit donner tout un tas de lignes) : `mount -t efivarfs efivarsfs /sys/firmware/efi/efivars` On configure `grub` pour accepter les disques chiffrés en ajoutant à `/etc/default/grub` l’option` GRUB_CRYPTODISK=y` : `echo "GRUB_ENABLE_CRYPTODISK=y" >> /etc/default/grub` on installe grub : `grub-install –target=x86_64-efi –efi-directory/boot/efi --force-extra-removable --no-nvram` on n’oublie pas bien sur de mettre à jour grub.cfg : `update-grub` Et on met à jour l’initramfs : `update-initramfs -u -k all` On quitte ensuite le chroot pour revenir sous la console de l’installateur. `exit` `exit` # Fin de l’installation On revient sous l’installateur et on termine l’installation : ![image](https://www.debian-fr.org/uploads/default/original/2X/9/93de1a81ecc24fb579c56274f319e8298e4d1f2d.png) On passe le warning concernant l’installation de GRUB. ![image](https://www.debian-fr.org/uploads/default/original/2X/3/373c7f8515cadbec5c8df8234023336a0ff7ded1.png) On met l’horloge en UTC. Et une fois fini, on redémarre. # Démarrage Lors du démarrage de l’installation, l’uefi va demander la clef de déchiffrement de la grappe /dev/md1. **ATTENTION** la saisie se fera en clavier **QWERTY**. Je cherche encore comment avoir un clavier azerty, mais je n’ai pas encore trouvé. Ensuite, GRUB s’affiche. Une fois le système lancé, il faut donner de nouveau la clef de déchiffrement **en azerty** cette fois-ci. Et vous êtes sur l’écran de logon 🙂 ---
**Author:** ![PengouinPdt](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pengouinpdt/32/3978_2.png) [@PengouinPdt](https://www.debian-fr.org/u/PengouinPdt)\ **Post date:** [Juin 9, 2025, 8:11 UTC](https://www.debian-fr.org/t/tutoriel-installation-debian-avec-netinst-raid1-luks-lvm/91240/3 "2025-06-09T08:11:28Z")
Merci pour ce qui semble être un excellent tuto, et qui évite certains pièges. Apparemment, dans l’état, il faut vraiment en vouloir pour arriver à ce genre de config FS. Chapeau ! Mon seul regret est que ce ne soit pas l’objet d’un article publié avec une belle URL pour promotion qui le mérite 😛 😉 ---
**Author:** ![tonrain](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/t/f9ae1b/32.png) [@tonrain](https://www.debian-fr.org/u/tonrain)\ **Post date:** [Janvier 26, 2026, 6:10 UTC](https://www.debian-fr.org/t/tutoriel-installation-debian-avec-netinst-raid1-luks-lvm/91240/4 "2026-01-26T18:10:49Z")
Bonjour à tous, Merci pour ce tutoriel très complet sur l’installation de Debian depuis le support d’installation par le réseau. Je me suis inscrit sur le forum pour faire un retour d’expérience en particulier. En effet, j’ai suivi ce tutoriel pour effectuer une installation sur une grappe de disques en _RAID 1_. Contrairement à ce qui est écrit ici, je n’ai pas chiffré les disques durs, et j’ai fait une installation sur **3 partitions** (_EFI_, _boot_ et groupe de volume _LVM_). Je pense néanmoins que ce que je vais décrire peut s’appliquer à ce tutoriel car cela me semble davantage lié à l’utilisation d’une grappe _RAID1_ pour l’_EFI_ que pour autre chose. J’ai rencontré un problème sur l’installation du chargeur d’amorçage de Debian. En effet, on préconise ici l’installation de _Grub_ en lieu et place de _systemd-boot_ (qui, à ma connaissance, ne peut pas être installé sur une grappe _RAID1_). L’utilisation d’une grappe _RAID1_ pour l’_EFI_ nous oblige à utiliser l’option `--no-nvram` ; ce qui a pour conséquence l’absence de modification des entrées de démarrage dans la mémoire _NVRAM_. Je me suis donc retrouvé dans l’incapacité de démarrer avec **Secure Boot** activé. Il se trouve que ma carte mère Asrock a bien détecté un système sur lequel démarrer, mais via le chargeur `grubx64.efi` or, avec **Secure Boot** , il faut démarrer sur `shimx64.efi` qui chargera ensuite `grubx64.efi` (parce que `shimx64.efi` contient la signature qui permet d’indiquer à **Secure Boot** que le système est sain, ce que ne peut pas faire _Grub_ par lui-même). Autrement dit, pour ceux qui pourraient rencontrer le problème, juste après la commande `update-initramfs -u -k all`, penser à mettre à jour vos entrées NVRAM avec le programme `efibootmgr` : ```bash # Installer `efibootmg` s'il est absent du système. apt install --no-install-recommends efibootmgr # Afficher la liste des entrées NVRAM efibootmgr --verbose # Créer une entrée de démarrage en pointant sur `shimx64.efi'. #efibootmgr -c -d /dev/sda -p 1 -L debian -l '\EFI\debian\shimx64.efi' efibootmgr --create --device /dev/sda --partition 1 --label debian --loader '\EFI\debian\shimx64.efi' # Modifier l'ordre de démarrage pour mettre l'entrée avec le fichier `shimx64.efi'. #efibootmgr -o XXX,YYYY,... efibootmgr --bootorder XXXX,YYYY,... # où XXXX correspond à l'identifiant de l'entrée de démarrage utilisant `shimx64.efi`. ``` J’ignore si je suis un problème isolé ou non, mais j’ai réinstallé 4 fois le système ce week-end avant de comprendre d’où venait le soucis, et à chaque fois, je me retrouvais sans entrée dans l’UEFI pour démarrer sur `shimx64.efi`… En espérant que cela aide quelqu’un d’autre (probablement moi dans quelques années)… ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Janvier 26, 2026, 9:25 UTC](https://www.debian-fr.org/t/tutoriel-installation-debian-avec-netinst-raid1-luks-lvm/91240/5 "2026-01-26T21:25:24Z")
> [@tonrain](#): > > J’ai rencontré un problème sur l’installation du chargeur d’amorçage de Debian. En effet, on préconise ici l’installation de _Grub_ en lieu et place de _systemd-boot_ (qui, à ma connaissance, ne peut pas être installé sur une grappe _RAID1_ ). Attention, c’est ici une installation Debian 12. Systemd-boot ,'existe pas sur Debian 123 sauf peut être via backport mais marche très très mal. Il est préférable d’être en trixie pour systemd-boot qui marche alors très bien. Qui plus est, GRUB est particulièrement nul quand à son utilisation avec Secure Boot. D’autant qu’en plus il est aussi assez nul dès qu’il y a du chiffrement. C’est la raison pour laquelle avec Trixie j’ai enfin me débarrasser de cette bouse. Je dois d’ailleurs refaire les tests d’installation RAID avec Trixie sans utiliser GRUB, ce qui devrait etre nettement mieux avec systemd-boot, sans parler de UKI qui permet de secuser encore mieux le démarrage.