Тогда самые ненапряжные варианты подходят:
1.Если ставится новая ОС - сразу выбрать установку в luks целиком.
2.Если ось уже поставлена - добавить новый виртуальный диск или раздел, перенести на него всё что нужно прятать.
Каждую перезагрузку придется в первом случае вводить пароль в консоли гипервизора или настроить debootstrap и вводить по ssh. Во втором случае вводить пароль на подключение по ssh в ОС. Автоматизировать ввод пароля по разумным причинам не стоит.

При чем тут дебутстрап?

при шифровании прокса целиком, в случае если  гипервизор перестанет запускаться, то решать проблемы будет несколько сложнее )

Вот luks с lvm - это сложнее