Настройка GRUB для загрузки с зашифрованного диска

Если и /boot шифровать, то:

GRUB_ENABLE_CRYPTODISK=y

Не, не совсем. /boot я собираюсь выносить на отдельную флешку, но там она будет без шифрования. Ключевую фразу собираюсь вводить при каждой загрузке. Вопрос только, как настроить GRUB (при установке с debootstrap), чтобы он грузился с зашифрованного раздела (при выборе menuentry запрашивался пароль).

/boot я собираюсь выносить на отдельную флешку, но там она будет без шифрования

как настроить GRUB (при установке с debootstrap), чтобы он грузился с зашифрованного раздела (при выборе menuentry запрашивался пароль).

Ну и в чём смысл тогда?

В таком случае не надо ничего настраивать.

Сейчас хотелось бы рассмотреть и такой вариант. Как в этом случае следует поступить? (просто думаю, как лучше это реализовать)

Шифровать весь диск, включая /boot, и без флешки.