Безопасная бездисковая система - NFS как root

Я создал бездисковую установку Debian с корневой файловой системой через NFS и загрузчиком на USB (у этого компьютера по какой-то причине возникают проблемы с загрузкой из PXE). Моя установка похожа на описанную в ArchLinux Wiki.

У меня это отлично работает, но у меня есть некоторые проблемы с безопасностью.

• Кто угодно может смонтировать корень NFS, я могу ограничить его по IP, но это легко обойти.
• Трафик NFS не зашифрован, поэтому его можно перехватить.

Сервер NFS и ноутбук, который я хочу загрузить, находятся в разных VLAN, и я установил правила брандмауэра, чтобы они работали.

Какие варианты у меня есть для туннелирования трафика NFS?

• В некоторых местах предлагается VPN, но я не уверен, что это выполнимо во время загрузки.
• Аналогичный вариант с использованием 802.1X на коммутаторе для получения доступа к NFS VLAN, но я также не знаю, возможно ли это во время загрузки.
• Использовать другой сетевой ресурс? Используйте Kerberos для шифрования NFS, не знаю, работает ли он во время загрузки.

Есть другие предложения? Существуют удивительные ресурсы по созданию бездисковых систем, но большинство из них полагается на загрузку в надежной сети. Я могу это сделать, но я не хочу менять VLAN в порту каждый раз, когда я хочу загрузиться по сети VS, когда я хочу загрузить (ненадежную) ОС, установленную на ноутбуке.