Wie richte ich einen Borg-Backup-Server auf einem Storage-VPS ein?

Welche Borg-Version sollte der Server ausführen?

Führen Sie Borg 1.x auf beiden Seiten aus: 1.4.5 war am 2. November 2026 die neueste stabile Version, und Borg 2 ist noch in der Beta. Die Seite zu Borg 2.0 nennt es ein Breaking Release, das nicht direkt mit Borg 1.x-Repositories kompatibel ist, und benennt borg init in borg repo-create um. Unter Debian 13 ist das zu installierende Paket borgbackup (1.4.0 in trixie); das separate Paket borgbackup2 ist eine 2.0-Beta. Installieren Sie dieselbe Version auf dem Server und auf jedem Client.

apt install borgbackup
borg --version

useradd --create-home --home-dir /srv/borg --shell /bin/sh borg
install -d -m 700 -o borg -g borg /srv/borg/.ssh /srv/borg/repos
install -d -m 700 -o borg -g borg /srv/borg/repos/laptop /srv/borg/repos/web1

Wie sperre ich jeden Client auf sein eigenes Repository?

Setzen Sie jedem Schlüssel in /srv/borg/.ssh/authorized_keys einen erzwungenen borg serve-Befehl voran, damit der Schlüssel nur Borg und sonst nichts ausführen kann. Das Schlüsselwort restrict blockiert Port-Forwarding, Agent-Forwarding und Terminals, und die Borg-Dokumentation merkt an, dass es auch SSH-Funktionen abdeckt, die in künftigen Releases hinzukommen. Die Beispiele gehen von einer POSIX-Shell als Login-Shell des Kontos aus, weshalb der Benutzer oben /bin/sh erhält.

• --restrict-to-path PATH erlaubt diesen Pfad und jeden Ordner darunter, sodass ein Client mehrere Repositories halten kann.
• --restrict-to-repository PATH ist strenger: genau ein Repository, keine Unterordner.
• --append-only erlaubt dem Schlüssel, Archive hinzuzufügen, aber keine Daten aus dem Repository zu entfernen.
• --storage-quota 500G begrenzt, wie viel ein Schlüssel speichern kann, sodass ein durchgehender Client die Festplatte nicht füllen kann.

Jede Zeile bleibt in der Datei eine Zeile; der Admin-Schlüssel am Ende hat kein --append-only und wird nur zum Pruning verwendet.

command="borg serve --restrict-to-path /srv/borg/repos/laptop --append-only",restrict ssh-ed25519 AAAA...laptop-key... laptop
command="borg serve --restrict-to-path /srv/borg/repos/web1 --append-only --storage-quota 500G",restrict ssh-ed25519 AAAA...web1-key... web1
command="borg serve --restrict-to-path /srv/borg/repos",restrict ssh-ed25519 AAAA...admin-key... admin

chown borg:borg /srv/borg/.ssh/authorized_keys
chmod 600 /srv/borg/.ssh/authorized_keys

Wie erstelle ich das Repository mit repokey-Verschlüsselung?

Führen Sie borg init --encryption=repokey vom Client aus, exportieren Sie dann den Schlüssel und bewahren Sie ihn außerhalb sowohl des VPS als auch des gesicherten Rechners auf. Die Borg-Dokumentation empfiehlt repokey mit einer starken Passphrase als Faustregel; repokey-blake2 ist derselbe Modus mit einem BLAKE2b-Hash, wahrscheinlich schneller auf Prozessoren ohne hardwarebeschleunigtes SHA-256. Bei repokey liegt der Schlüssel in der Datei config des Repositories, versiegelt durch Ihre Passphrase. Verlieren Sie die Passphrase, sind die Backups unlesbar, für Sie und für alle anderen. Borg sagt außerdem, dass Sie eine Off-Site-Kopie des Schlüssels aufbewahren müssen, zum Beispiel auf Papier.

ssh-keygen -t ed25519 -N '' -C 'borg laptop' -f ~/.ssh/borg_ed25519

cat >> ~/.ssh/config <<'EOF'
Host coffer-borg
    HostName 203.0.113.10
    User borg
    IdentityFile ~/.ssh/borg_ed25519
    IdentitiesOnly yes
EOF

export BORG_REPO=ssh://coffer-borg/srv/borg/repos/laptop/main
borg init --encryption=repokey
borg key export --paper "$BORG_REPO" ~/borg-laptop-key.txt

#!/bin/sh
export BORG_REPO=ssh://coffer-borg/srv/borg/repos/web1/main
# the passphrase file belongs to root, mode 600
export BORG_PASSCOMMAND='cat /root/.config/borg/passphrase'

borg create --stats --compression zstd,3 \
    ::'{hostname}-{now:%Y-%m-%dT%H:%M}' \
    /etc /home /var/www

Wie pruned und kompaktiere ich ein Append-Only-Repository?

Von einem vertrauenswürdigen Admin-Rechner mit dem Schlüssel ohne --append-only, nachdem Sie geprüft haben, dass kein Archiv fehlt. Im Append-Only-Modus, so die Hinweise von Borg, laufen prune und delete weiterhin, markieren Daten aber nur als gelöscht in einer neuen Transaktion, und eine Kompaktierung findet nie statt, ohne Warnung und ohne Fehler. Repository-Speicher wird erst freigegeben, wenn borg compact von einem Schlüssel ausgeführt wird, der umschreiben darf.

Dieselben Hinweise enthalten den Haken: Der erste Schreibvorgang im normalen Modus macht jede frühere Löschung dauerhaft, auch eine, die ein Angreifer über einen Client-Schlüssel vorgenommen hat. Listen Sie also zuerst die Archive auf. Fehlen welche, halten Sie an und folgen Sie den Wiederherstellungsschritten in den Append-Only-Hinweisen von Borg, bevor Sie irgendetwas prunen. Ein Cron-Job, der automatisch mit einem uneingeschränkten Schlüssel pruned, macht Append-Only sinnlos. Die Borg-Dokumentation empfiehlt außerdem ein --dry-run mit --list vor jedem echten Prune.

export BORG_REPO=ssh://coffer-admin/srv/borg/repos/web1/main

borg list
borg prune -v --list --dry-run --keep-daily=7 --keep-weekly=4 --keep-monthly=6
borg prune -v --list --keep-daily=7 --keep-weekly=4 --keep-monthly=6
borg compact

Wie prüfe ich das Repository und beweise, dass eine Wiederherstellung funktioniert?

Führen Sie borg check wöchentlich aus, borg check --verify-data monatlich, und extrahieren Sie alle paar Monate echte Dateien auf einen anderen Rechner. Eine einfache Prüfung verifiziert das Repository und die Archiv-Metadaten. --verify-data liest, entschlüsselt und dekomprimiert jeden Chunk, was Borg als sehr zeitaufwendig bezeichnet, und auf Festplatten ist es das auch. Bei einem großen Repository teilt --repository-only --max-duration 3600 die Repository-Prüfung in Ein-Stunden-Abschnitte, die dort fortfahren, wo sie aufgehört haben. Nichts davon ersetzt eine tatsächliche Wiederherstellung: Ein Backup ist nur so gut wie das letzte Mal, an dem Sie Daten daraus geholt haben.

export BORG_REPO=ssh://coffer-borg/srv/borg/repos/web1/main

borg check -v
borg check -v --verify-data
borg check -v --repository-only --max-duration 3600

mkdir -p /tmp/restore-test && cd /tmp/restore-test
borg list
borg extract --list ::web1-2026-11-02T03:00 etc/nginx

Was kostet ein Borg-Ziel im Vergleich zu gehostetem Borg-Speicher?

Laut der Erhebung von Coffervale vom 2. November 2026 kostete gehosteter Borg-Speicher $9.17 pro TB pro Monat bei BorgBase (1 TB Medium-Tarif, $110.00 pro Jahr) und $15.00 pro TB bei rsync.net, während Storage-VPS-Tarife von Hostern, die Krypto ohne Ausweisdokument annehmen, einen Median von $4.00 pro TB hatten. Gehostete Dienste betreiben den Server für Sie; ein Storage-VPS gibt Ihnen root und das obige Setup, eine Wahl, die in Ist ein Storage-VPS eine günstigere Alternative zu rsync.net oder BorgBase? abgewogen wird. Wir erstellen kein Backup Ihres Servers und bewahren nirgendwo sonst eine Kopie Ihrer Daten auf, daher sollte das, was auf einer Coffervale Storage-VPS liegt, eine Ihrer Kopien sein, niemals die einzige, sodass der Borg-Server eine Kopie unter mehreren ist, wie Wie nutze ich einen VPS für Off-Site-Backups? erklärt. Der 1-TB-Tarif ist in Wo bekomme ich einen VPS mit 1 TB Speicher? detailliert, und wenn Sie restic bevorzugen, lesen Sie Restic: REST-Server oder SFTP für Backups auf einen VPS?. Um auch die VPS-Festplatte zu verschlüsseln, siehe Wie mounte und formatiere ich die Speicherfestplatte auf einem Linux-VPS?.