Como criptografar dados em um servidor Ubuntu construído em RAID + LVM?

Question

Estou gerenciando um servidor de arquivos com dois discos. O servidor está executando o Ubuntu 14.04 e já está configurado com o software RAID1 ( /dev/md0 ) e o LVM sobre ele.

Dados importantes são armazenados nos sistemas de arquivos /var e /srv , e me pedem para criptografá-los, mas não tenho certeza de qual caminho seguir.

Posso criar novos volumes lógicos, usar dm-crypt para criptografá-los e, em seguida, criar um sistema de arquivos e mover os dados para lá?
Como os volumes criptografados precisam ser montados automaticamente na inicialização, eu deveria armazenar as chaves de criptografia em um dispositivo diferente, como um pendrive USB, está correto?

O que me interessa:

• Neste momento, não sei quanto /var e /srv vão crescer, por isso quero poder ampliar facilmente o sistema de arquivos quando necessário (é por isso que estamos usando o LVM).
• Preciso proteger os dados em /var e /srv se os discos forem substituídos e colocados em outro lugar.
• Preocupo-me mais com confiabilidade e segurança do que com desempenho.

O que eu não me importo:

• Eu não preciso proteger o sistema de arquivos raiz, já que é uma configuração bastante padrão.
• Eu não preciso proteger o volume de swap, estou até considerando a opção de removê-lo, já que ele nunca é usado (há muita RAM disponível).

Aqui está uma visualização da minha configuração atual, para referência:

$ lsblk
NAME                                MAJ:MIN RM   SIZE RO TYPE  MOUNTPOINT
sda                                   8:0    0   1,8T  0 disk
└─sda1                                8:1    0   1,8T  0 part
  └─md0                               9:0    0   1,8T  0 raid1
    ├─raidvg-varlv (dm-2)           252:2    0    15G  0 lvm   /var
    ├─raidvg-srvlv (dm-3)           252:3    0   304G  0 lvm   /srv
    ├─raidvg-systemlv (dm-4)        252:4    0  10,2G  0 lvm   /
    └─raidvg-swaplv (dm-5)          252:5    0   3,7G  0 lvm   [SWAP]
sdb                                   8:16   0   1,8T  0 disk
└─sdb1                                8:17   0   1,8T  0 part
  └─md0                               9:0    0   1,8T  0 raid1
    ├─raidvg-varlv (dm-2)           252:2    0    15G  0 lvm   /var
    ├─raidvg-srvlv (dm-3)           252:3    0   304G  0 lvm   /srv
    ├─raidvg-systemlv (dm-4)        252:4    0  10,2G  0 lvm   /
    └─raidvg-swaplv (dm-5)          252:5    0   3,7G  0 lvm   [SWAP]