从工作正常的Ubuntu 16.04，我成功进行了安装后的根分区加密，其中的根分区包含/ boot以外的所有内容。我将/ boot放在单独的可移动USB上。值得注意的是，我是在升级到Ubuntu 18之前完成的，并且升级在加密磁盘版本上运行良好。
加密没有“就地”完成，这对我来说很好，因为无论如何在新设置生效之前我都不想覆盖工作版本。
执行正确的过程非常简单和快捷。（尽管找出正确的过程非常耗时，因为我遵循了一些错误的线索。）
大纲
- 创建一个活动的Linux USB磁盘-启用持久性很方便。在该活动USB磁盘上启动。
- 在一个空分区上创建一个luks加密的卷组。（在我的情况下，它与原始linux在同一磁盘上，但也可能是另一张磁盘。）在该加密分区上创建/（根）并交换逻辑卷。就复制的linux而言，它们将充当虚拟分区。
- 将文件从旧根复制到新根。
- 设置并分区另一个USB以充当可移动引导盘。
- 在新的根目录下设置一些文件，做一些魔术，然后将chroot设置为新的根目录，然后从chroot的新根目录环境将grub安装到启动磁盘上。
细节
1-使用活动的Linux USB磁盘引导-启用持久性很方便。
使用unetbootin在USB上安装Ubuntu 16。GUI允许指定“持久性”，但是还需要执行另一步骤才能使持久性起作用-修改/boot/grub/grub.cfg以添加--- persistent如下内容：
menuentry "Try Ubuntu without installing" {
set gfxpayload=keep
linux /casper/vmlinuz file=/cdrom/preseed/ubuntu.seed boot=casper quiet splash --- persistent
initrd /casper/initrd
}
使用实时USB引导
2-在一个空分区上创建一个luks加密卷组。在该加密分区上创建/（根）并交换逻辑卷。
假设要加密的未使用分区为/dev/nvme0n1p4。
（可选）如果您希望在加密和格式化之前隐藏分区上的旧数据，则可以随机擦除分区。请参阅此处的讨论。
dd if=/dev/urandom of=/dev/nvme0n1p4 bs=4096 status=progress
设置加密。
cryptsetup -y -v luksFormat /dev/nvme0n1p4
系统将要求您设置密码。
cryptsetup luksOpen /dev/nvme0n1p4 crypt1
系统将要求您输入密码。请注意，这crypt1是一个任意的用户决定名称。现在创建卷和格式。
pvcreate /dev/mapper/crypt1
vgcreate crypt1-vg /dev/mapper/crypt1
lvcreate -L 8G crypt1-vg -n swap
mkswap /dev/crypt1-vg/swap
lvcreate -l 100%FREE crypt1-vg -n root
mkfs.ext4 /dev/crypt1-vg/root
使用这些实用程序查看卷并了解层次结构。
pvscan
vgscan
lvscan
ls -l /dev/mapper
ls -l /dev/crypt1
3-将文件从旧根复制到新根
mkdir /tmp/old-root
mount /dev/ubuntu-vg/root /tmp/old-root/
mkdir /tmp/new-root
mount /dev/crypt1-vg/root /tmp/new-root/
cp -a /tmp/old-root/. /tmp/new-root/
umount /tmp/old-root
umount /tmp/new-root
cp -a ... 以存档模式复制，保留所有文件模式和标志。
4-设置并分区另一个USB以用作可移动引导盘。
我为此使用了gparted。设置两个分区。第一个分区是vfat，第二个ext2。每个都是512 MB，您可能会花更少的钱。假设设备/dev/sdf。
# The first partition: (will be /dev/sdf1)
Free space preceding (leave default value)
New size 512 MiB
Free space following (leave default value)
Create as: Primary Partition
Partition Name: (leave)
File System: fat32
Label: (leave)
# The second partition: (will be /dev/sdf2)
Free space preceding (leave default value)
New size 512 MiB
Free space following (leave default value)
Create as: Primary Partition
Partition Name: (leave)
File System: ext4
Label: (leave)
5-在新的根目录中设置一些文件，做一些魔术，然后将chroot插入新的根目录，然后从chroot的新根目录环境将grub安装到启动磁盘上。
查找一些UUID供以后使用。请注意以下命令的输出：
blkid /dev/sdf1
blkid /dev/sdf2
blkid /dev/nvme0n1p4
挂载根分区和引导分区
sudo mount /dev/mapper/crypt1--vg-root /mnt
sudo mount /dev/sdf2 /mnt/boot
sudo mount /dev/sdf1 /mnt/boot/efi
设置文件 /mnt/etc/fstab
/dev/mapper/crypt1--vg-root / ext4 errors=remount-ro 0 1
/dev/mapper/crypt1--vg-swap none swap sw 0 0
UUID=[uuid of /dev/sdf2] /boot ext2 defaults 0 2
UUID=[uuid of /dev/sdf1] /boot/efi vfat umask=0077 0 1
其中“ [uuid of ...]”只是一个字母数字连字符的组合。
创建文件 /mnt/etc/cryptab
# <target name> <source device> <key file> <options>
crypt1 UUID=[uuid of /dev/nvme0n1p4] none luks,discard,lvm=crypt1--vg-root
进入根目录环境需要一些技巧：
sudo mount --bind /dev /mnt/dev
sudo mount --bind /proc /mnt/proc
sudo mount --bind /sys /mnt/sys
chroot /mnt
现在，使用以下命令设置启动USB磁盘grub：
apt install --reinstall grub-efi-amd64
grub-install --efi-directory=/boot/efi --boot-directory=/boot --removable
update-initramfs -k all -c
update-grub
现在，您应该能够使用新创建的USB启动盘重新启动和启动。
故障排除-
（a）必须为apt install --reinstall grub-efi-amd64命令连接网络。如果网络已连接但DNS失败，请尝试
echo "nameserver 8.8.8.8" | sudo tee /etc/resolv.conf > /dev/null
（b）在调用之前initramfs，vmlinuz...原始linux中使用的当前文件必须存在于新的根目录中。如果不是，请找到它并将其放在那里。
（c）grub-install默认情况下，该命令将搜索它可以找到的所有其他Linux磁盘，即使它们没有被mounted，也将它们放在新的引导USB的引导菜单中。通常这是不需要的，因此可以通过将以下行添加到来避免这种情况/boot/default/grub.cfg：
GRUB_DISABLE_OS_PROBER=true
注意：
可以将带有加密密钥的文本文件添加到可移动引导USB中。