¿Cómo configuro un servidor de copias de seguridad Borg en un VPS de almacenamiento?

¿Qué versión de Borg debería ejecutar el servidor?

Ejecuta Borg 1.x en ambos extremos: la 1.4.5 era la última versión estable el 2 de noviembre de 2026, y Borg 2 sigue en beta. La página de Borg 2.0 la describe como una versión con cambios incompatibles que no es directamente compatible con los repositorios de Borg 1.x, y renombra borg init a borg repo-create. En Debian 13 el paquete que hay que instalar es borgbackup (1.4.0 en trixie); el paquete borgbackup2 aparte es una beta de la 2.0. Instala la misma versión en el servidor y en cada cliente.

apt install borgbackup
borg --version

useradd --create-home --home-dir /srv/borg --shell /bin/sh borg
install -d -m 700 -o borg -g borg /srv/borg/.ssh /srv/borg/repos
install -d -m 700 -o borg -g borg /srv/borg/repos/laptop /srv/borg/repos/web1

¿Cómo bloqueo cada cliente a su propio repositorio?

Pon un comando borg serve forzado delante de cada clave en /srv/borg/.ssh/authorized_keys, para que la clave pueda ejecutar Borg y nada más. La palabra clave restrict bloquea el reenvío de puertos, el reenvío de agentes y las terminales, y la documentación de Borg señala que también cubre funciones de SSH añadidas en versiones futuras. Los ejemplos suponen un shell POSIX como shell de inicio de sesión de la cuenta, por eso el usuario de arriba usa /bin/sh.

• --restrict-to-path PATH permite esa ruta y todas las carpetas que hay debajo, así que un cliente puede tener varios repositorios.
• --restrict-to-repository PATH es más estricto: exactamente un repositorio, sin subcarpetas.
• --append-only permite a la clave añadir archivos pero no eliminar datos del repositorio.
• --storage-quota 500G limita lo que puede almacenar una clave, para que un cliente descontrolado no llene el disco.

Cada línea se queda en una sola línea del archivo; la clave de administración al final no tiene --append-only y solo se usa para la purga.

command="borg serve --restrict-to-path /srv/borg/repos/laptop --append-only",restrict ssh-ed25519 AAAA...laptop-key... laptop
command="borg serve --restrict-to-path /srv/borg/repos/web1 --append-only --storage-quota 500G",restrict ssh-ed25519 AAAA...web1-key... web1
command="borg serve --restrict-to-path /srv/borg/repos",restrict ssh-ed25519 AAAA...admin-key... admin

chown borg:borg /srv/borg/.ssh/authorized_keys
chmod 600 /srv/borg/.ssh/authorized_keys

¿Cómo creo el repositorio con cifrado repokey?

Ejecuta borg init --encryption=repokey desde el cliente, luego exporta la clave y guárdala fuera tanto del VPS como de la máquina de la que haces la copia. La documentación de Borg recomienda repokey con una contraseña fuerte como regla general; repokey-blake2 es el mismo modo con un hash BLAKE2b, probablemente más rápido en procesadores sin SHA-256 acelerado por hardware. Con repokey, la clave está en el archivo config del repositorio, sellada con tu contraseña. Si pierdes la contraseña, las copias de seguridad quedan ilegibles, tanto para ti como para cualquier otra persona. Borg también indica que debes guardar una copia de la clave fuera del sitio, por ejemplo en papel.

ssh-keygen -t ed25519 -N '' -C 'borg laptop' -f ~/.ssh/borg_ed25519

cat >> ~/.ssh/config <<'EOF'
Host coffer-borg
    HostName 203.0.113.10
    User borg
    IdentityFile ~/.ssh/borg_ed25519
    IdentitiesOnly yes
EOF

export BORG_REPO=ssh://coffer-borg/srv/borg/repos/laptop/main
borg init --encryption=repokey
borg key export --paper "$BORG_REPO" ~/borg-laptop-key.txt

#!/bin/sh
export BORG_REPO=ssh://coffer-borg/srv/borg/repos/web1/main
# the passphrase file belongs to root, mode 600
export BORG_PASSCOMMAND='cat /root/.config/borg/passphrase'

borg create --stats --compression zstd,3 \
    ::'{hostname}-{now:%Y-%m-%dT%H:%M}' \
    /etc /home /var/www

¿Cómo hago prune y compact en un repositorio append-only?

Desde una máquina de administración de confianza, con la clave que no tiene --append-only, después de comprobar que no falta ningún archivo. En modo append-only, según explican las notas de Borg, prune y delete se siguen ejecutando pero solo marcan los datos como eliminados en una nueva transacción, y la compactación nunca ocurre, sin aviso ni error. El espacio del repositorio no se libera hasta que se ejecuta borg compact desde una clave autorizada a reescribir.

Esas mismas notas incluyen la trampa: la primera escritura en modo normal hace permanente toda eliminación anterior, incluida una que un atacante haya hecho a través de una clave de cliente. Así que lista primero los archivos. Si falta alguno, detente y sigue los pasos de recuperación de las notas de append-only de Borg antes de purgar nada. Un cron que purga automáticamente con una clave sin restricciones hace que el modo append-only no sirva de nada. La documentación de Borg también recomienda un --dry-run con --list antes de cada purga real.

export BORG_REPO=ssh://coffer-admin/srv/borg/repos/web1/main

borg list
borg prune -v --list --dry-run --keep-daily=7 --keep-weekly=4 --keep-monthly=6
borg prune -v --list --keep-daily=7 --keep-weekly=4 --keep-monthly=6
borg compact

¿Cómo compruebo el repositorio y demuestro que una restauración funciona?

Ejecuta borg check cada semana, borg check --verify-data cada mes, y extrae archivos reales a otra máquina cada pocos meses. Una comprobación normal verifica el repositorio y los metadatos de los archivos. --verify-data lee, descifra y descomprime cada fragmento, lo que Borg califica de muy lento, y en discos duros lo es. Para un repositorio grande, --repository-only --max-duration 3600 divide la comprobación del repositorio en tramos de una hora que se reanudan donde se detuvieron. Nada de esto sustituye a una restauración real: una copia de seguridad vale tanto como la última vez que sacaste datos de ella.

export BORG_REPO=ssh://coffer-borg/srv/borg/repos/web1/main

borg check -v
borg check -v --verify-data
borg check -v --repository-only --max-duration 3600

mkdir -p /tmp/restore-test && cd /tmp/restore-test
borg list
borg extract --list ::web1-2026-11-02T03:00 etc/nginx

¿Cuánto cuesta un destino Borg en comparación con el almacenamiento Borg alojado?

Según el estudio de Coffervale del 2 de noviembre de 2026, el almacenamiento Borg alojado costaba $9.17 por TB al mes en BorgBase (plan Medium de 1 TB, $110.00 al año) y $15.00 por TB en rsync.net, mientras que los planes de VPS de almacenamiento de proveedores que aceptan criptomonedas sin documento de identidad tenían una mediana de $4.00 por TB. Los servicios alojados ejecutan el servidor por ti; un VPS de almacenamiento te da root y la configuración de arriba, una elección que se sopesa en ¿Es un VPS de almacenamiento una alternativa más barata a rsync.net o BorgBase?. No hacemos copias de seguridad de tu servidor ni guardamos ninguna copia de tus datos en otro lugar, así que lo que está en un VPS de almacenamiento de Coffervale debe ser una de tus copias, nunca la única, así que el servidor Borg es una copia entre varias, como explica ¿Cómo uso un VPS para copias de seguridad fuera del sitio?. El plan de 1 TB se detalla en ¿Dónde puedo conseguir un VPS con 1 TB de almacenamiento?, y si prefieres restic, lee Restic: ¿servidor REST o SFTP para copias de seguridad a un VPS?. Para cifrar también el disco del VPS, consulta ¿Cómo monto y formateo el disco de almacenamiento en un VPS Linux?.