Dos CachyOS cifrados en el mismo SSD, cada uno con su arranque

Esta guía sirve para tener dos CachyOS en el mismo SSD, cada uno con su propio cifrado y su propio arranque, sin que uno pueda ver los archivos del otro. Un caso típico: un sistema Personal para tus cuentas y documentos, y otro de Pruebas para programar, probar herramientas de IA o instalar cosas de las que no te fías del todo.

Partimos de un CachyOS ya instalado y cifrado, y de espacio libre en el mismo disco (por ejemplo, el que ocupaba un Windows que vas a quitar).

Es una guía avanzada. Si es tu primera instalación, empieza por la guía completa de CachyOS.

Qué queremos conseguir

• Cada sistema con su propia partición de arranque (/boot) y su propio Limine.
• Cada sistema con su propio cifrado LUKS2, con contraseñas distintas.
• Que desde Pruebas no se abra nunca el disco de Personal.
• Una entrada propia de cada uno en el menú de arranque del equipo, y uno de ellos como predeterminado.

Es mejor que compartir un único /boot: cada instalación guarda sus propios kernels y su configuración, y un problema en una no obliga a tocar la otra.

Cuatro conceptos antes de empezar

• UEFI: el firmware que arranca antes que Linux. Guarda una lista de entradas de arranque que Linux puede ver y cambiar con efibootmgr.
• Limine: el gestor de arranque de CachyOS, el menú donde eliges kernel o instantánea. Cada instalación tiene el suyo.
• /boot: la partición con Limine, los kernels y su configuración. Para Limine, CachyOS recomienda al menos 4 GiB en FAT32, sin cifrar.
• LUKS2 y Btrfs: LUKS2 cifra la partición del sistema (en lsblk sale como crypto_LUKS); dentro va Btrfs con sus subvolúmenes. La contraseña de LUKS no es la de tu usuario.

Mira bien tu disco

lsblk -o NAME,SIZE,FSTYPE,PARTUUID,MOUNTPOINTS

Te dice cada partición, su tamaño, su tipo (FAT32, NTFS, crypto_LUKS…), su identificador único (PARTUUID) y dónde está montada. Localiza las dos particiones de tu CachyOS actual: su FAT32 de /boot y su crypto_LUKS. Esas dos no se tocan.

Nunca identifiques una partición solo por su número (p1, p5…). Compara tamaño y tipo, y el PARTUUID cuando haya arranque de por medio.

Copias y comprobaciones

1. Copia fuera del SSD todo lo que quieras conservar de lo que vas a borrar.
2. Comprueba que tu CachyOS actual arranca bien y que sabes su contraseña de LUKS.
3. Guarda fuera del SSD cualquier archivo importante.
4. Ten a mano el USB de instalación de CachyOS.

Borrar particiones no tiene vuelta atrás. Y son dos cosas distintas: borrar una entrada del menú de arranque no borra ninguna partición, y borrar una partición no quita su entrada del menú.

Secure Boot y el pendrive

Si al arrancar el pendrive sale «La imagen de arranque seleccionada no superó la autenticación» (Selected boot image did not authenticate), es Secure Boot rechazando el arranque del USB. CachyOS pide, en cualquier caso, Secure Boot y CSM desactivados durante la instalación.

Desactiva solo Secure Boot, temporalmente. No hace falta borrar el TPM, restaurar la BIOS ni borrar las claves.

Desactivar Secure Boot no es lo mismo que borrar sus claves. Si ya tenías claves propias inscritas para tu primer CachyOS, borrarlas desharía ese trabajo.

Arranca desde el menú de arranque de tu equipo (según la marca, F12, F11, F8 o Esc; en los HP, Esc y luego F9), eligiendo la entrada UEFI del pendrive.

Particionar sin tocar el primer sistema

En el instalador (Calamares), elige Particionado manual. Nunca «Borrar disco», ni «Reemplazar partición» a ciegas.

1. Identifica por tamaño y tipo las particiones que vas a eliminar (por ejemplo, las del antiguo Windows) y borra solo esas.
2. En el espacio libre, crea el /boot del segundo sistema: 4 GiB o más, FAT32, punto de montaje /boot, flag boot, sin cifrar.
3. Con el resto, la partición del sistema: Btrfs, punto de montaje /, cifrada con LUKS2 y con una contraseña distinta de la del primero.

Antes de pulsar Instalar, lee el resumen. Si el /boot o el LUKS de tu primer sistema aparecen para formatear o borrar, cancela y vuelve atrás.

Si el instalador no puede borrar una partición

Puede salir un error como Failed to erase filesystem signature con wipefs --all. Suele pasar si la partición sigue montada o conserva una firma que no puede limpiar en ese momento. Cierra el instalador y comprueba:

lsblk -o NAME,FSTYPE,SIZE,MOUNTPOINTS

Si la partición que quieres borrar está montada, desmóntala (cambia pX por la tuya, ya comprobada):

sudo umount /dev/nvme0n1pX

Solo si estás completamente seguro de que pX es la partición que quieres destruir, borra sus firmas, actualiza y comprueba:

sudo wipefs -a /dev/nvme0n1pX
            sudo partprobe /dev/nvme0n1
            lsblk -f

Nunca ejecutes sudo wipefs -a /dev/nvme0n1 sin el número de partición: estarías apuntando al disco entero.

Qué esperar al reiniciar

Al arrancar el sistema nuevo, su Limine solo muestra sus propios kernels e instantáneas: el primer CachyOS no aparece. Es lo normal. Cada uno tiene su Limine, y el sistema se elige un nivel antes, en el menú de arranque del equipo.

UEFI
            ├── CachyOS Personal → su Limine → sus kernels
            └── CachyOS Pruebas  → su Limine → sus kernels

Tampoco es un error que falten números de partición (por ejemplo, p1, p2, p5, p6 sin p3 ni p4): GPT no renumera al borrar y crear particiones.

Limpiar el menú de arranque

Aunque hayas borrado un sistema, su entrada puede seguir en el menú de la UEFI (Windows Boot Manager, por ejemplo). Míralas:

sudo efibootmgr -v

• BootCurrent: la entrada con la que has arrancado ahora.
• BootOrder: el orden normal de arranque.
• BootNext: la que se usará solo en el siguiente arranque.
• Boot0000, Boot0001…: las entradas guardadas.

Para saber a qué partición apunta cada entrada, compara el PARTUUID que sale en efibootmgr -v (en algo como HD(5,GPT,a1b2c3d4-…)) con el de lsblk. El PARTUUID es mucho más fiable que el número de partición.

Para borrar una entrada que ya has identificado (cambia XXXX por su número):

sudo efibootmgr -b XXXX -B

No copies números de entrada de ninguna guía ni de memoria: se reutilizan. Mira siempre antes con efibootmgr -v.

Crear entradas con nombres claros

Si te quedan varias entradas llamadas solo «Limine», es mejor crear dos nuevas con nombre y borrar las viejas después de probarlas. Cambiar el nombre de una existente con -L no siempre funciona.

sudo efibootmgr -c -d /dev/nvme0n1 -p NUMERO -L "CachyOS Personal" -l '\EFI\limine\limine_x64.efi'

• -c crea una entrada nueva.
• -d es el disco donde está el /boot.
• -p es el número de la partición /boot de ese sistema.
• -L es el nombre que verás en el menú.
• -l es la ruta de Limine dentro de esa partición.

Repite con el /boot del otro sistema y otro nombre. Después, sudo efibootmgr -v para ver qué números les ha dado.

Probar antes de borrar nada

Prueba cada entrada nueva una sola vez, sin cambiar el orden permanente:

sudo efibootmgr -n XXXX
            reboot

Al volver, sudo efibootmgr debe decir BootCurrent: XXXX. Cuando las dos entradas nuevas arranquen bien, borra los duplicados antiguos con -b XXXX -B.

Nunca borres una entrada porque «parece duplicada». Compárala por PARTUUID y prueba antes las nuevas.

Elegir el sistema predeterminado

El primero de BootOrder es el que arranca por defecto. Si quieres cambiarlo, mira antes los números actuales con sudo efibootmgr y ponlos en el orden que quieras (conserva las entradas del propio firmware, como el USB):

sudo efibootmgr -o XXXX,YYYY

Que BootCurrent sea uno y BootOrder empiece por otro no es un error: significa que esta vez arrancaste con uno y la próxima se intentará primero el otro.

Para entrar en el que no es predeterminado, abre el menú de arranque del equipo al encender y elígelo. Te pedirá su contraseña de LUKS.

Cuánto aísla esto de verdad

Desde el sistema de Pruebas, lsblk verá la partición de Personal como crypto_LUKS sin punto de montaje: sabe que existe, pero no puede leerla. Es justo lo que queremos.

• Contraseñas de LUKS distintas, y nunca escribas la de Personal estando en Pruebas.
• Sin montaje automático de Personal en Pruebas.
• Ni carpeta personal ni perfiles de navegador compartidos.
• En Pruebas, las mínimas credenciales personales posibles.
• Copias de seguridad de Personal fuera del SSD.

LUKS protege la confidencialidad: con Personal cerrado, un programa de Pruebas no puede leer sus archivos. Pero alguien con permisos de administrador en Pruebas sí podría dañar el disco: sobrescribirlo, corromper Personal o tocar el arranque. Dos SSD separados aíslan más; dos equipos, todavía más.

Secure Boot, al final y con calma

Si quieres volver a activar Secure Boot, cada sistema tiene que tener su Limine firmado con claves que acepte tu UEFI. Hazlo como un proceso aparte, siguiendo la guía oficial de Secure Boot de CachyOS para los dos sistemas.

No actives Secure Boot dando por hecho que el segundo sistema ya está preparado: si su Limine no está firmado, no arrancará. Y no borres todas las claves para configurar el segundo, que deshaces lo del primero.

Si una entrada desaparece del menú

No reinstales. Desde el sistema que sí arranque, o desde el USB:

1. Comprueba con lsblk -o NAME,SIZE,FSTYPE,PARTUUID,MOUNTPOINTS que su /boot y su LUKS siguen ahí.
2. Monta ese /boot y comprueba que existe EFI/limine/limine_x64.efi.
3. Vuelve a crear la entrada con efibootmgr -c, como arriba.

Dudas frecuentes

• «No puedo escribir el guion en el USB de instalación»: el teclado está en inglés. En Plasma, Configuración del sistema → Teclado → Distribuciones, añade Español. O pega los comandos en Konsole con Ctrl + Mayús + V.
• «Windows sigue saliendo aunque lo borré»: es su entrada en la UEFI; bórrala con efibootmgr -b XXXX -B tras identificarla.
• «Veo la partición del otro sistema»: verla como crypto_LUKS no significa que esté abierta. Lo importante es que no tenga punto de montaje.

La regla de oro de toda la guía: nunca copies a ciegas un número de partición, un número de entrada, un UUID o un PARTUUID. Mira siempre antes los de tu equipo con lsblk y efibootmgr.

Fuentes: instalación de CachyOS, manual de efibootmgr y Ventoy y Secure Boot.