如何加密已安装的Arch Linux系统？（Windows同盘GRUB双引导场景）

所有操作仅针对Arch专属分区执行，严禁改动Windows所在分区的任何结构

• 前置准备
  • 提前备份Arch分区内所有关键数据，块级加密改造属于高风险操作，中途断电、操作失误会直接造成分区数据损坏
  • 制作可启动的Arch Live镜像U盘，所有改造操作必须从Live环境执行，禁止在正在运行的Arch系统内直接修改系统分区
  • 明确磁盘分区边界：ESP引导分区、Windows系统分区、Arch根分区、Arch家目录分区，操作全程避免对Windows分区执行挂载、写入、修改操作
• 分区加密改造流程
  • 从Live U盘启动后，先卸载所有系统自动挂载的磁盘分区
  • 针对Arch专属的文件系统分区，使用cryptsetup reencrypt命令执行在线块级转换，将原裸分区改造为LUKS2加密格式，该流程不需要提前清空分区内的原有数据
  • 转换完成后，通过LUKS映射挂载改造后的分区，将原Arch系统/etc/fstab配置中对应挂载点的设备UUID，替换为解密映射卷的UUID
• GRUB引导适配调整
  • 重新安装GRUB到ESP分区，编译启用带LUKS解密支持的模块，避免引导时卡在找不到加密设备的报错，引导阶段可正常弹出密码输入提示完成分区解密
  • 在GRUB的内核启动参数中添加对应Arch分区的cryptdevice配置项，保证内核加载阶段可以正确识别加密分区
  • 重新扫描引导条目，确认GRUB配置中保留Windows启动入口，os-prober识别逻辑不受加密改造影响
• 避坑提醒
  • 同磁盘双系统场景下，严禁对整块物理磁盘执行全盘加密操作，否则会直接破坏Windows分区结构与引导文件
  • 旧版本cryptsetup不支持分区在线转换功能，操作前需要确认Live环境内的cryptsetup版本满足reencrypt命令的使用要求
  • 改造完成后先从加密分区启动一次，确认系统可正常进入、文件系统读写正常，再清理原分区的临时配置文件

内容的提问来源于stack exchange，提问作者FPVogel