Wie betreibe ich Syncthing auf einem Storage VPS als Always-On-Node?

Warum Syncthing auf einem VPS betreiben?

Weil Syncthing nur zwischen Geräten synchronisiert, die im selben Moment online sind, und ein VPS ist rund um die Uhr online. Ohne einen solchen tauscht ein Laptop, der geschlossen ist, während Ihr Smartphone unterwegs ist, nie Änderungen mit ihm aus. Mit einem VPS dazwischen synchronisiert jedes Gerät mit dem VPS, sobald es online kommt, und der VPS gibt die Änderungen weiter. Seine öffentliche Adresse lässt Ihre Geräte außerdem direkt mit ihm verbinden, statt auf einen Relay zu warten.

Sync ist kein Backup. Eine Datei, die Sie löschen, oder ein Ordner, den Ransomware auf einem Gerät verschlüsselt, ist innerhalb von Sekunden auf den anderen gelöscht oder verschlüsselt, den VPS eingeschlossen. Sync kopiert Ihre Fehler genauso getreu wie Ihre Dateien, halten Sie also eine versionierte Kopie anderswo bereit, wie Wie nutze ich einen VPS für Off-Site-Backups? beschreibt.

Sollte Syncthing als systemd-Systemdienst oder als User-Service laufen?

Auf einem Server empfiehlt die Syncthing-Dokumentation den Systemdienst syncthing@USER, der beim Booten startet, ohne dass jemand angemeldet ist; ein User-Service funktioniert ebenfalls, sobald Lingering aktiviert ist. Der User-Service syncthing.service startet normalerweise erst, nachdem sich sein Benutzer angemeldet hat, was auf einem Headless-VPS nie passiert. loginctl enable-linger ändert das: Die systemd-Instanz des Benutzers startet beim Booten und nimmt den Service mit. Das Debian 13-Paket installiert beide Unit-Dateien, es muss also keine kopiert werden.

Betreiben Sie Syncthing unter einem eigenen unprivilegierten Konto, dessen Home auf der Storage-Festplatte liegt, damit die synchronisierten Ordner dort landen. Die Schritte zum Vorbereiten dieser Festplatte stehen in Wie mounte und formatiere ich die Storage-Festplatte auf einem Linux-VPS?.

apt install syncthing
useradd --create-home --home-dir /srv/data/sync --shell /usr/sbin/nologin syncer

# Option A: system service, the one Syncthing documents for servers
systemctl enable --now [email protected]

# Option B: user service, started at boot by lingering
loginctl enable-linger syncer
systemctl --user -M syncer@ enable --now syncthing.service

Wie öffne ich die Syncthing-GUI auf einem VPS, ohne sie offenzulegen?

Lassen Sie die GUI auf ihrer Standardadresse 127.0.0.1:8384 und leiten Sie einen lokalen Port über SSH dorthin weiter. Die Syncthing-FAQ nennt genau diese Methode, um die GUI von einem anderen Computer aus zu erreichen. Der Tunnel nutzt Ihre bestehende SSH-Anmeldung, die GUI lauscht also nie auf einer öffentlichen Adresse. Falls Sie sie doch an 0.0.0.0 binden, rät dieselbe FAQ, ein Passwort zu setzen und HTTPS zu aktivieren. Setzen Sie in jedem Fall einen GUI-Benutzer und ein Passwort: Jedes Konto auf dem VPS kann 127.0.0.1 erreichen.

ssh -N -L 9090:127.0.0.1:8384 [email protected]

Wie mache ich den VPS zu einem nicht vertrauenswürdigen (verschlüsselten) Gerät?

Teilen Sie jeden Ordner von einem vertrauenswürdigen Gerät aus mit einem Verschlüsselungspasswort mit dem VPS und akzeptieren Sie ihn auf dem VPS als Ordner „Receive Encrypted“. Das Passwort wird pro Gerät in den Freigabeeinstellungen des Ordners gesetzt und nur für das nicht vertrauenswürdige Gerät; Ihre eigenen Laptops und Smartphones teilen untereinander ohne Passwort. Die Daten werden mit Schlüsseln verschlüsselt, die aus diesem Passwort und der Ordner-ID über scrypt abgeleitet werden, mit XChaCha20-Poly1305 und AES-SIV. Setzen Sie in den Geräteeinstellungen des VPS auf Ihren vertrauenswürdigen Rechnern außerdem unter Advanced das Häkchen bei „Untrusted“: Syncthing blockiert dann die Verbindung, wenn einem mit ihm geteilten Ordner das Passwort fehlt.

Zwei Einschränkungen ergeben sich aus der Dokumentation. Die Funktion „should still be considered beta / testing only“, behalten Sie also eine weitere Kopie von allem, was wichtig ist. Und weil verschlüsselte Blöcke nicht zwischen Dateien wiederverwendet werden können, kann das Umbenennen einer großen Datei den VPS dazu bringen, die alte zu verwerfen und die Daten erneut herunterzuladen; Änderungen innerhalb einer Datei verschieben weiterhin nur die geänderten Blöcke. Ein nicht vertrauenswürdiger Node ist ein Tresor, der seinen eigenen Inhalt nicht lesen kann.

Welche Ports und Discovery-Einstellungen braucht ein Always-on-Node?

Öffnen Sie Port 22000 für TCP und UDP; der GUI-Port 8384 bleibt geschlossen. Syncthing nutzt 22000/TCP für sein TCP-Sync-Protokoll und 22000/UDP für QUIC. Port 21027/UDP trägt die lokale Discovery, die nur Geräte im selben LAN findet, ein VPS gewinnt dadurch also nichts.

Ist 22000 auf einer öffentlichen Adresse erreichbar, verbinden sich Ihre Geräte direkt mit dem VPS. Sie können dann statt der globalen Discovery die VPS-Adresse tcp://203.0.113.10:22000 in den Einstellungen jedes Geräts eintragen. Relays werden zum Fallback statt zur Notwendigkeit, und die Syncthing-FAQ merkt an, dass Relays die durch sie laufenden Daten ohnehin nicht sehen können.

ufw allow 22000/tcp
ufw allow 22000/udp

Was kostet ein Always-on-Syncthing-Node?

Laut der Coffervale-Erhebung vom 2. November 2026 kosten Storage-VPS-Tarife von Hostern, die Krypto ohne Ausweisdokument annehmen, im Median $4.00 pro TB im Monat, ab $2.22 beim günstigsten Anbieter. Dimensionieren Sie den Tarif nach den Ordnern, die Sie synchronisieren, plus Luft zum Wachsen: Zum Wachsen bestellen Sie einen größeren Tarif und kopieren Ihre Daten mit rsync oder zfs send hinüber; eine Größenänderung eines laufenden Servers im Betrieb wird zum Start nicht angeboten. Sync-Traffic zählt zum monatlichen Kontingent, 4 TB pro Monat beim 1-TB-Tarif Clay; Jeder Server hat eine IPv4-Adresse und ein IPv6-/64 an einem 1-Gbit/s-Port, mit einem monatlichen Traffic-Kontingent von 2 TB plus 2 TB pro gespeichertem TB: 3 TB für Silt, 4 TB für Clay, 6 TB für Shale, 10 TB für Granite, 18 TB für Bedrock. Über dem Kontingent läuft der Port mit 100 Mbit/s, bis die nächste Periode beginnt; es wird nichts zusätzlich berechnet. Der 1-TB-Tarif ist beschrieben in Wo bekomme ich einen VPS mit 1 TB Speicher?. Wenn Sie zusätzlich eine Weboberfläche, Kalender oder Freigabe-Links möchten, vergleichen Sie die beiden Server-Optionen in Nextcloud oder Seafile auf einem kleinen Storage-VPS?.