El tráfico entre nodos siempre viaja cifrado por defecto sin ninguna configuración

Basta con ocultar el puerto del controller, ya que sin conocerlo nadie puede conectarse

Añadiendo la capa de cifrado LUKS a los volúmenes para proteger los datos en reposo, usando TLS entre el cliente, el controller y los satélites, y aislando el tráfico DRBD en una red privada o con cifrado

No es posible cifrar nada, porque DRBD no admite capas adicionales sobre el volumen