Dos CachyOS cifrados en el mismo SSD, cada uno con su arranque

Por ejemplo, un sistema Personal para tus cuentas y documentos, y otro de Pruebas para programar o instalar cosas de las que no te fías del todo. Cada uno con su /boot, su Limine y su cifrado LUKS2 con contraseña distinta.

Es una guía avanzada: parte de un CachyOS ya instalado y cifrado. Si es tu primera instalación, empieza por la guía completa de CachyOS.

Mira bien tu disco

lsblk -o NAME,SIZE,FSTYPE,PARTUUID,MOUNTPOINTS

Localiza las dos particiones de tu CachyOS actual: su FAT32 de /boot y su crypto_LUKS. Esas dos no se tocan.

Nunca identifiques una partición solo por su número (p1, p5…). Compara tamaño y tipo, y el PARTUUID cuando haya arranque de por medio.

Copias y comprobaciones

1. Copia fuera del SSDUn disco sin piezas móviles, mucho más rápido que un disco duro. todo lo que quieras conservar de lo que vas a borrar.
2. Comprueba que tu CachyOS actual arranca y que sabes su contraseña de LUKS.
3. Ten a mano el USB de instalación de CachyOS.

Borrar particiones no tiene vuelta atrás. Y borrar una entrada del menú de arranque no borra ninguna partición, ni borrar una partición quita su entrada.

Arranca el pendrive

1. Desactiva solo Secure BootUna función de la UEFI que solo deja arrancar sistemas firmados con claves de confianza, para que nada se cuele antes que el sistema., temporalmente (CachyOS lo pide para instalar). No borres el TPMUn chip de seguridad de la placa que guarda claves. Windows 11 pide la versión 2.0., ni restaures la BIOSEl programa de la placa que arranca el PC antes que el sistema. Hoy casi siempre es UEFI, aunque se le siga llamando BIOS., ni borres las claves: si tenías claves propias para tu primer CachyOS, lo desharías.
2. Abre el menú de arranque (según la marca, F12, F11, F8 o Esc; en los HP, Esc y luego F9) y elige la entrada UEFI del pendrive.

Si sale «La imagen de arranque seleccionada no superó la autenticación» (Selected boot image did not authenticate), es Secure Boot rechazando el USB: sigue el paso 1.

Haz las particiones sin tocar el primer sistema

En el instalador, Particionado manual. Nunca «Borrar disco», ni «Reemplazar partición» a ciegas.

1. Borra solo las particiones que vas a eliminar (por ejemplo, las del antiguo Windows), identificadas por tamaño y tipo.
2. En el espacio libre, el /boot nuevo: 4 GiB o más, FAT32, punto de montaje /boot, flag boot, sin cifrar.
3. Con el resto, el sistema: Btrfs, punto de montaje /, cifrado con LUKS2 y con una contraseña distinta de la del primero.

Antes de pulsar Instalar, lee el resumen. Si el /boot o el LUKS de tu primer sistema aparecen para formatear o borrar, cancela.

Al reiniciar

El Limine del sistema nuevo solo muestra sus propios kernels: el primer CachyOS no aparece. Es lo normal. El sistema se elige un nivel antes, en el menú de arranque del equipo:

UEFI
├── CachyOS Personal → su Limine → sus kernels
└── CachyOS Pruebas  → su Limine → sus kernels

Tampoco es un error que falten números de partición (p1, p2, p5 sin p3 ni p4): GPT no renumera.

Ordena el menú de arranque

1. Mira las entradas: sudo efibootmgr -v. Para saber a qué partición apunta cada una, compara su PARTUUID (en algo como HD(5,GPT,a1b2c3d4-…)) con el de lsblk.
2. Crea una entrada con nombre claro para cada sistema (cambia NUMERO por el de su partición /boot):

   sudo efibootmgr -c -d /dev/nvme0n1 -p NUMERO -L "CachyOS Personal" -l '\EFI\limine\limine_x64.efi'

   Repite con el otro /boot y otro nombre.
3. Prueba cada entrada nueva una sola vez, sin cambiar el orden (NNNN es el número de la entrada): sudo efibootmgr -n NNNN y reboot. Al volver, sudo efibootmgr tiene que decir BootCurrent: NNNN.
4. Cuando las dos arranquen, borra las entradas viejas (las «Limine» sin nombre, el antiguo Windows Boot Manager…): sudo efibootmgr -b NNNN -B.
5. El primero de BootOrder es el predeterminado. Para cambiarlo, conservando las entradas del firmware: sudo efibootmgr -o NNNN,MMMM.

No copies números de entrada de ninguna guía ni de memoria: se reutilizan. Mira siempre antes con efibootmgr -v, y nunca borres una entrada porque «parece duplicada».

Comprueba el aislamiento

Desde Pruebas, lsblk verá la partición de Personal como crypto_LUKS sin punto de montaje: sabe que existe, pero no puede leerla.

• Nunca escribas la contraseña de Personal estando en Pruebas.
• Nada de montar Personal en Pruebas, ni carpetas o perfiles de navegador compartidos.
• En Pruebas, las mínimas credenciales personales posibles, y las copias de Personal, fuera del SSD.

LUKS protege la confidencialidad: con Personal cerrado, Pruebas no puede leer sus archivos. Pero alguien con permisos de administrador en Pruebas sí podría dañar el disco. Dos SSD separados aíslan más; dos equipos, todavía más.

Vuelve a activar Secure Boot, con calma

Cada sistema necesita su Limine firmado con claves que acepte tu UEFI. Sigue la guía oficial de Secure Boot de CachyOS para los dos.

Si el Limine del segundo no está firmado, no arrancará. Y no borres todas las claves para configurar el segundo: deshaces lo del primero.

Si algo falla

sudo umount /dev/nvme0n1pX

sudo wipefs -a /dev/nvme0n1pX
sudo partprobe /dev/nvme0n1
lsblk -f

La regla de oro: nunca copies a ciegas un número de partición, de entrada, un UUID o un PARTUUID. Mira antes los de tu equipo con lsblk y efibootmgr.

Fuentes: instalación de CachyOS, manual de efibootmgr y Ventoy y Secure Boot.