Restic: REST-Server oder SFTP für Backups auf einem Storage VPS?

Ist rest-server schneller als SFTP?

Das rest-server-Projekt sagt ja: Verglichen mit SFTP leistet das REST-Backend mehr und skaliert weiter. Die README nennt den Grund: SFTP überträgt Daten in Blöcken von höchstens 32 KiB und der Server bestätigt jedes Paket, während REST ganze Dateien über HTTP sendet. Reines HTTP spart zudem den TLS-Overhead, da restic ohnehin alles verschlüsselt, was es sendet; die README ergänzt, dass HTTPS dann vor allem dem Schutz der Anmeldung dient. Das ist die Aussage des Projekts selbst, kein von uns durchgeführter Benchmark. Auf einem Storage VPS mit Festplatten geben oft die Festplatten und Ihr Uplink das Tempo vor, bevor es das Protokoll tut.

Auf Client-Seite hat SFTP eine bekannte Unannehmlichkeit: Die restic-Dokumentation weist darauf hin, dass SFTP-Server Verbindungen schließen, wenn sie eine Weile nichts empfangen, was lange Scans unveränderter Dateien auslösen können.

Wann ist reines SFTP die bessere Wahl?

Wenn eine Maschine, der Sie vertrauen, auf ihr eigenes Konto sichert und Sie keinen zusätzlichen Dienst, keinen zusätzlichen Port und nichts Neues zum Patchen wollen. restic braucht nur restic -r sftp:user@host:/path init und einen SSH-Schlüssel ohne Passphrase-Abfrage, da eine automatische Sicherung nicht anhalten kann, um danach zu fragen. Die Schwäche ist die, die gegen Ransomware am meisten zählt: Wer den Client kontrolliert, kann auch restic forget --prune ausführen und jeden Snapshot löschen, denn SFTP kennt keinen Append-only-Modus.

Damit jedes SFTP-Konto nicht im restlichen Server stöbern kann, kann OpenSSH es ohne Shell in seinen eigenen Ordner einsperren:

Match User restic-laptop
    ForceCommand internal-sftp
    ChrootDirectory /srv/restic-sftp/%u
    AllowTcpForwarding no
    X11Forwarding no

useradd --no-create-home --home-dir /srv/restic-sftp/restic-laptop --shell /usr/sbin/nologin restic-laptop
install -d -m 755 -o root -g root /srv/restic-sftp/restic-laptop
install -d -m 700 -o restic-laptop -g restic-laptop /srv/restic-sftp/restic-laptop/repo
install -d -m 700 -o restic-laptop -g restic-laptop /srv/restic-sftp/restic-laptop/.ssh
echo 'ssh-ed25519 AAAA...client-key... laptop' > /srv/restic-sftp/restic-laptop/.ssh/authorized_keys
chown restic-laptop:restic-laptop /srv/restic-sftp/restic-laptop/.ssh/authorized_keys
chmod 600 /srv/restic-sftp/restic-laptop/.ssh/authorized_keys

Wie betreibe ich rest-server mit Append-only- und privaten Repositories?

Installieren Sie auf Debian 13 restic-rest-server, richten Sie es auf einen Datenordner außerhalb von /home und übergeben Sie --append-only --private-repos plus TLS in seiner Defaults-Datei. Der paketierte Dienst läuft als Benutzer restic-rest-server, liest BACKUP_DIR, LISTEN und ARGS aus /etc/default/restic-rest-server, startet nicht, bevor BACKUP_DIR gesetzt ist, und verbirgt /home vor dem Daemon. Mit --private-repos darf der Benutzer laptop nur Repositories unter /laptop/ öffnen, sodass mehrere Personen einen Storage VPS gemeinsam nutzen können, ohne die Snapshots der anderen zu sehen. Ein selbstsigniertes Zertifikat genügt, da der Client es mit --cacert pinnt.

apt install restic-rest-server apache2-utils openssl
install -d -m 750 -o restic-rest-server -g restic-rest-server /srv/restic

openssl req -x509 -newkey rsa:3072 -nodes -days 3650 \
    -keyout /etc/restic-rest-server/key.pem -out /etc/restic-rest-server/cert.pem \
    -subj '/CN=coffer-backup' -addext 'subjectAltName=IP:203.0.113.10'
chown root:restic-rest-server /etc/restic-rest-server/key.pem
chmod 640 /etc/restic-rest-server/key.pem

cat > /etc/default/restic-rest-server <<'EOF'
BACKUP_DIR=/srv/restic
LISTEN=:8000
ARGS="--htpasswd-file /etc/restic-rest-server/users.htpasswd --append-only --private-repos --tls --tls-cert /etc/restic-rest-server/cert.pem --tls-key /etc/restic-rest-server/key.pem"
EOF

htpasswd -B /etc/restic-rest-server/users.htpasswd laptop
chown root:restic-rest-server /etc/restic-rest-server/users.htpasswd
chmod 640 /etc/restic-rest-server/users.htpasswd
systemctl enable restic-rest-server
systemctl restart restic-rest-server

mkdir -p ~/.config/restic
scp [email protected]:/etc/restic-rest-server/cert.pem ~/.config/restic/coffer.pem

cat > ~/.config/restic/coffer.env <<'EOF'
RESTIC_REPOSITORY=rest:https://203.0.113.10:8000/laptop/
RESTIC_REST_USERNAME=laptop
RESTIC_REST_PASSWORD=the-htpasswd-password
RESTIC_PASSWORD_FILE=/home/me/.config/restic/repo-password
RESTIC_CACERT=/home/me/.config/restic/coffer.pem
EOF
chmod 600 ~/.config/restic/coffer.env

set -a; . ~/.config/restic/coffer.env; set +a
restic init
restic backup ~/Documents ~/Pictures

Wie bereinige ich Snapshots, wenn rest-server append-only ist?

Führen Sie forget --prune von einer vertrauenswürdigen Admin-Maschine über einen Pfad aus, der nicht append-only ist, und schreiben Sie die Richtlinie mit --keep-within. rest-server hält das Repository im selben Layout wie ein lokales Repository, sodass SFTP als root genau denselben Ordner erreicht und das Repository-Passwort nie auf dem VPS eingegeben werden muss.

Der Teil mit --keep-within ist wichtig. Die restic-Dokumentation beschreibt einen Angreifer, der einem Append-only-Repository leere Snapshots hinzufügt, sodass eine Richtlinie wie ein Snapshot pro Woche die echten verdrängt; eine zeitbasierte Richtlinie behält sowohl den Müll als auch die echten Snapshots. Sie hilft nur, solange die Systemuhr stimmt, wenn forget läuft, und ist kein Grund, zuerst einen Blick auf restic snapshots zu sparen.

restic -r sftp:[email protected]:/srv/restic/laptop snapshots
restic -r sftp:[email protected]:/srv/restic/laptop forget --keep-within 90d --prune
restic -r sftp:[email protected]:/srv/restic/laptop check --read-data-subset=5%

Welches Backend sollte ich wählen?

Wählen Sie rest-server, wann immer die gesicherte Maschine am Internet hängt; wählen Sie SFTP für eine einzelne, gut gepflegte Maschine, bei der Einfachheit gewinnt. Ein Append-only-Ziel kann von dem Angreifer, der Ihren Server verschlüsselt, nicht geleert werden, und diese eine Eigenschaft wiegt den zusätzlichen Daemon auf.

Was kostet ein restic-Ziel pro TB?

Laut Coffervales Umfrage vom 2. November 2026 kostete Backblaze B2, ein Object Store, den restic nativ unterstützt, $6.95 pro TB und Monat, während Storage-VPS-Pläne von Hostern, die Krypto ohne Ausweisdokument akzeptieren, einen Median von $4.00 pro TB hatten. Ein Object Store braucht keinen Server zur Wartung, bietet aber keines der beiden hier besprochenen Backends; ein Storage VPS betreibt beide. Wir erstellen kein Backup Ihres Servers und bewahren nirgendwo sonst eine Kopie Ihrer Daten auf, daher sollte das, was auf einer Coffervale Storage-VPS liegt, eine Ihrer Kopien sein, niemals die einzige: Der VPS ist Ihre Off-Site-Kopie, wie Wie nutze ich einen VPS für Off-Site-Backups? erklärt. Wenn Sie lieber Borg verwenden möchten, folgen Sie Wie richte ich einen Borg-Backup-Server auf einem VPS ein?; um die darunterliegende Festplatte zu verschlüsseln, siehe Wie mounte und formatiere ich die Storage-Festplatte auf einem Linux-VPS?. Pläne und Konditionen finden Sie unter Wie viel kostet ein Storage VPS pro Monat?.