ZFS Encryption lässt sich nicht nachträglich auf ein bestehendes Dataset aktivieren. Die Daten müssen per zfs send | zfs receive in ein neues, verschlüsseltes Dataset geschrieben werden. Typischer Anwendungsfall: Jails, die in eigenen Datasets liegen und nach einem FreeBSD-Upgrade auf 13+ verschlüsselt werden sollen.
Wer die Grundlagen zu ZFS Encryption noch braucht (Dataset anlegen, Passphrase, Mount nach Reboot), findet sie im Beitrag Native ZFS Encryption einrichten.
Ausgangslage
Ein Pool zroot mit dem unverschlüsselten Dataset varta:
zfs list zroot/varta
NAME USED AVAIL REFER MOUNTPOINT
zroot/varta 100M 12.0G 100M /zroot/varta
zfs get encryption zroot/varta
NAME PROPERTY VALUE SOURCE
zroot/varta encryption off default
Migration
Bei zfs send | zfs receive kann man kein Passphrase interaktiv eingeben, weil stdin durch die Pipe belegt ist. Deshalb legt man den Schlüssel temporär in einer Datei ab:
echo 'MeinGeheimesPassphrase' > /tmp/keyfile.txt
chmod 600 /tmp/keyfile.txt
Snapshot erstellen und in ein neues verschlüsseltes Dataset senden:
zfs snapshot zroot/varta@migration
zfs send zroot/varta@migration | \
zfs receive -F \
-o encryption=on \
-o keyformat=passphrase \
-o keylocation=file:///tmp/keyfile.txt \
zroot/en-varta
Das neue Dataset zroot/en-varta enthält jetzt dieselben Daten, verschlüsselt mit AES-256-GCM:
zfs list zroot/varta zroot/en-varta
NAME USED AVAIL REFER MOUNTPOINT
zroot/en-varta 100M 11.8G 100M /zroot/en-varta
zroot/varta 100M 11.8G 100M /zroot/varta
Aufräumen
Die Keyfile-Referenz auf Passphrase-Abfrage umstellen und die temporäre Datei löschen:
zfs set keylocation=prompt zroot/en-varta
zfs get keylocation zroot/en-varta
NAME PROPERTY VALUE SOURCE
zroot/en-varta keylocation prompt local
rm /tmp/keyfile.txt
Dann das alte Dataset entfernen und das neue umbenennen:
zfs destroy -r zroot/varta
zfs rename zroot/en-varta zroot/varta
Fertig. Das Dataset liegt jetzt verschlüsselt am selben Mountpoint wie vorher:
zfs get encryption,keylocation,keyformat zroot/varta
NAME PROPERTY VALUE SOURCE
zroot/varta encryption aes-256-gcm -
zroot/varta keylocation prompt local
zroot/varta keyformat passphrase -
Stolperfallen
Keyfile in /tmp ist ein Kompromiss. Auf FreeBSD-Default ist /tmp zwar ein tmpfs im RAM, aber bei Speicherdruck kann das System swappen. chmod 600 schützt gegen andere Benutzer, nicht gegen root, Backup-Prozesse oder einen Crash-Dump. Sauberer ist eine keylocation auf einem schon verschlüsselten Dataset oder ein FIFO statt einer regulären Datei. In beiden Fällen existiert die Passphrase nie persistent auf der Platte.
Properties gehen beim Send verloren. Ohne -R (Replication Stream) oder explizite -o-Optionen werden compression, recordsize, quota, reservation, atime und eigene Properties nicht mitübertragen. Wer compression=zstd oder recordsize=1M gesetzt hatte, muss die beim receive wieder setzen oder direkt einen Replication Stream nutzen.
Mountpoint nach dem Rename prüfen. Lag das alte Dataset auf /var/jails/varta, muss der Mountpoint nach dem Rename wieder explizit gesetzt werden, sonst landet das Dataset am Default-Pfad des Pools:
zfs set mountpoint=/var/jails/varta zroot/varta
Jail vorher stoppen. service jail stop <name> bzw. iocage stop oder bastille stop. Sonst sind Dateien offen, zfs destroy -r schlägt fehl und der Rename macht keinen Spaß.
Inkrementelle Migration für große Datasets
Bei Jails mit Datenbank, Mailspool oder einfach mehreren hundert GB ist Downtime gleich Send-Laufzeit nicht akzeptabel. Besser: initial senden während der Dienst läuft, dann nur kurz stoppen und den inkrementellen Rest nachziehen.
# Phase 1: initialer Send im laufenden Betrieb
zfs snapshot zroot/varta@migration-1
zfs send zroot/varta@migration-1 | \
zfs receive -F \
-o encryption=on \
-o keyformat=passphrase \
-o keylocation=file:///tmp/keyfile.txt \
zroot/en-varta
# Phase 2: Dienst stoppen, inkrementelles Delta senden
service jail stop varta
zfs snapshot zroot/varta@migration-2
zfs send -i @migration-1 zroot/varta@migration-2 | \
zfs receive zroot/en-varta
# Phase 3: Rename und Neustart
zfs destroy -r zroot/varta
zfs rename zroot/en-varta zroot/varta
zfs set mountpoint=/var/jails/varta zroot/varta
service jail start varta
Die Downtime reduziert sich so auf den inkrementellen Send plus Rename, bei einer typischen Mailbox sind das Sekunden statt Minuten. Bei sehr aktiven Datasets kann man mehrere inkrementelle Snapshots nacheinander schieben, bis das Delta klein genug für die gewünschte Zielzeit ist.
Update 2026: was heute dazugekommen ist
OpenZFS 2.x ist auf FreeBSD 14 und 15 stabil. Der eigentliche Migrationspfad hat sich nicht geändert, drumherum ist einiges dazugekommen:
Raw encrypted send/receive. Mit zfs send -w wird ein verschlüsseltes Dataset ohne Entschlüsselung übertragen. Der Remote-Host lagert den Stream, kennt den Schlüssel nicht und sieht keinen Klartext. Für Offsite-Backups der saubere Weg, sobald die Migration durch ist:
zfs snapshot zroot/varta@backup
zfs send -w -R zroot/varta@backup | \
ssh backup@remote zfs receive backuppool/varta
Andere Keyformate. Statt keyformat=passphrase gehen auch keyformat=raw (32-Byte-Keyfile, z.B. aus HSM oder TPM) oder keyformat=hex (64 Zeichen Hex). keylocation=https://... holt den Schlüssel beim Pool-Import von einer URL, praktisch für headless Systeme, bei denen die Passphrase-Abfrage beim Boot stört.
Kompression vor Verschlüsselung. ZFS komprimiert zuerst, verschlüsselt danach. compression=zstd zusammen mit encryption=on wirkt also wie erwartet, und der komprimierte Zustand bleibt auch im Raw Stream erhalten.
Nur für Datenpools und Non-Root-Datasets. Diese Anleitung deckt Jails, Home-Verzeichnisse, Mailspools und ähnliches ab. Verschlüsseltes Root-on-ZFS ist ein eigenes Thema und braucht zusätzlich Boot-Environment-Handling (bectl) sowie ein geli-verschlüsseltes Swap.
Siehe auch
Native ZFS Encryption einrichten und nutzen für die Grundlagen zu Dataset, Passphrase und Mount nach Reboot. Verschlüsseltes ZFS-Backup auf USB-Platte mit geli für die Offline-Sicherung. Linux Mint mit verschlüsseltem ZFS-Root-Pool installieren für das Linux-Pendant mit Root-Pool.
Eine Übersicht über alle ZFS-Funktionen gibt es im ZFS-Überblick. Fragen? Einfach melden.
