Дано, дешевае vps-ка qemu, но есть возможность установить свою систему (можно прервать unattended установку и вручную переразбить диски и установить систему с помощью debootstrap).
Цель - защитить vps от 'злонамеренного' доступа администратора хост системы, на которой крутятся вируталки от доступа к данным (чтение и модификация).

Какой конфиг в данном случае мог бы быть?

Шифрование разделов, ввод пароля во время загрузки по ssh в initramfs, но как защитить сам grub и initramfs от модификации? или хотя бы как можно проконтролировать в момент подключения по ssh что модификация не была произведена? можно просканировать память? к примеру держать точную копию boot на своей машине и как то сравнивать их?

Я понимаю что в общем случае абсолютной защиты не существует, но почему бы не сделать эту операцию достаточно дорогой, чтобы без особой нужды ею не было интересно заниматься.
Так же я знаю, что в случае с bare metall серверами можно использовать цифровую подпись, загрузив ее в биос и подписывать grub и образы... но тут это не доступно.

А ведь еще есть возможность дамп памяти виртуалки снять и в нем копаться, что можно сделать тут? точно помню видел патчи к qemu для шифрования памяти, но тут то это недоступно, или нет? может какое-нибудь каскадирование виртуалок можно соорудить?