Шифрование разделов в debian

Да. Положи ключ от одного тома на другой. Пример:

root /dev/disk/by-id/ata-KINGSTON_SV300S37A60G_50026B723706AD6D-part2 none luks,discard
swap /dev/disk/by-id/ata-KINGSTON_SV300S37A60G_50026B723706AD6D-part3 /dev/urandom cipher=aes-xts-plain64,size=256,swap
home /dev/disk/by-id/ata-ST3000VN000-1H4167_W300HWBV-part1 /etc/luks/home.bin luks
srv  /dev/disk/by-id/ata-Hitachi_HDS721010CLA330_JP2940N101DHWV-part1 /etc/luks/srv.bin luks

Т.е. забросить файл ключа от swap в home. Спасибо, попробую.

После непродолжительной борьбы с ленью я сдался и сделал LVM с шифрованием на весь диск, т.к. это позволяет избавится от ручного логина в систему не потеряв в безопастности.

в приведенном конфиге совсем другое написано. ключ от root вводится при загрузке, ключи от home и srv лежат на root, ключ от swap рандомный каждую загрузку

в приведенном конфиге совсем другое написано. ключ от root вводится при загрузке, ключи от home и srv лежат на root, ключ от swap рандомный каждую загрузку

Если шифровать вместе с рутом, то LVM имеет преимущество удобства, да и расшифровать его сложнее, как мне кажется, чем несколько отдельных разделов.

ключ от swap рандомный каждую загрузку

Этот вариант не позволяет использовать гибернацию (хотя она мне и не требуется, но мало ли вдруг).

я бы лично делал шифрование диска (или раздела), а сверху lvm. ты вроде так и сделал в итоге?

Ну да, так и сделал. /boot/ + шифрованный LVM. Поначалу я просто боялся тормозов и хотел оставить корень незашифрованным, т.к. ноут очень старый. Но в результате на производительности не сказалось.

LVM с шифрованием на весь диск

Это правильное решение.

расшифровать его сложнее, как мне кажется, чем несколько отдельных разделов

В смысле взломать? Нет, принципиальной разницы нету. Более того, есть даже обратный пример: использование xts-plain на устройствах больше определённого размера сильно повышает шансы для одной из технологий атаки (xts-plain64 решает эту проблему).