VeraCrypt支持预启动认证的全盘加密，需先创建救援介质，再通过其启动并选择加密整个硬盘，配置AES/SHA-256及强密码与PIM，加密至5%–10%后可安装系统，重启即触发密码验证。
如果您计划在安装操作系统之前对整个硬盘进行加密，VeraCrypt 提供了预启动认证的全盘加密能力，确保系统启动前即受保护。以下是实现此目标的具体步骤：
一、准备可启动的VeraCrypt救援介质
创建救援磁盘是启用全盘加密的前提，它包含引导加载程序和解密模块，用于在系统启动时验证密码并解密磁盘。该介质必须在安装操作系统前制作完成，且需与目标硬件兼容。
1、从 VeraCrypt 官网下载最新版 VeraCrypt 安装包，并在一台已运行 Windows 的计算机上安装。
2、插入一张空白 DVD 或容量不小于 128MB 的 USB 闪存驱动器。
3、启动 VeraCrypt，点击菜单栏 “系统” → “创建救援磁盘”。
4、在向导中选择目标设备（USB 或光盘），勾选 “将救援磁盘创建为可启动设备”，然后点击“下一步”直至完成。
二、使用VeraCrypt启动盘启动并初始化加密
VeraCrypt 全盘加密必须在无操作系统运行的环境下执行，因此需通过其启动盘引导进入专用加密环境。此过程会重写主引导记录（MBR）或 EFI 系统分区，不可逆操作前须确认硬盘无重要未备份数据。
1、将已制作好的 VeraCrypt 救援 USB 插入目标计算机，重启并进入 BIOS/UEFI 设置界面。
2、将 USB 设备设为第一启动项，保存设置并退出。
3、机器重启后进入 VeraCrypt 启动菜单，选择 “Encrypt the system partition or entire system drive”。
4、在加密向导中选择 “Encrypt the whole drive”，而非仅系统分区，以覆盖所有扇区（包括恢复分区、OEM 分区等）。
三、配置加密参数与密码策略
加密算法与密钥派生方式直接影响安全性与性能表现。VeraCrypt 默认参数已兼顾强度与兼容性，但需人工确认关键选项，避免因配置失误导致后续无法启动。
1、在“Encryption Options”页面，保持 AES 算法、SHA-256 哈希、1000 次 PIM 迭代 为默认值，不建议更改加密模式（如 XTS）。
