Restic: storage VPS पर बैकअप के लिए REST server या SFTP?

क्या rest-server SFTP से तेज़ है?

rest-server प्रोजेक्ट कहता है हाँ: SFTP की तुलना में, REST backend बेहतर प्रदर्शन करता है और आगे भी scale करता है। इसका README कारण बताता है: SFTP डेटा को अधिकतम 32 KiB के chunks में भेजता है और server हर packet की पुष्टि करता है, जबकि REST पूरी फ़ाइलें HTTP पर भेजता है। Plain HTTP TLS का overhead भी हटा देता है, क्योंकि restic पहले से ही जो कुछ भेजता है उसे encrypt करता है; README जोड़ता है कि HTTPS तब मुख्यतः login की सुरक्षा के लिए होता है। यह प्रोजेक्ट का अपना दावा है, हमारा चलाया हुआ benchmark नहीं। hard disks वाले storage VPS पर, अक्सर protocol से पहले disks और आपका uplink गति तय करते हैं।

Client की ओर, SFTP में एक ज्ञात परेशानी है: restic का documentation बताता है कि SFTP servers तब connections बंद कर देते हैं जब उन्हें कुछ समय तक कुछ नहीं मिलता, जिसे अपरिवर्तित फ़ाइलों की लंबी scans शुरू कर सकती हैं।

Plain SFTP कब बेहतर विकल्प है?

जब एक भरोसेमंद मशीन अपने ही account में backup करती है और आप न कोई अतिरिक्त service चाहते हैं, न अतिरिक्त port, न ही patch करने के लिए कुछ नया। restic को केवल restic -r sftp:user@host:/path init और passphrase prompt के बिना एक SSH key चाहिए, क्योंकि एक स्वचालित backup passphrase पूछने के लिए रुक नहीं सकता। कमज़ोरी वही है जो ransomware के विरुद्ध सबसे ज़्यादा मायने रखती है: जो client को नियंत्रित करता है वही restic forget --prune चला कर हर snapshot हटा सकता है, क्योंकि SFTP में कोई append-only mode नहीं होता।

हर SFTP account को server के बाकी हिस्से को browse करने से रोकने के लिए, OpenSSH उसे बिना shell के उसके अपने folder में बंद कर सकता है:

Match User restic-laptop
    ForceCommand internal-sftp
    ChrootDirectory /srv/restic-sftp/%u
    AllowTcpForwarding no
    X11Forwarding no

useradd --no-create-home --home-dir /srv/restic-sftp/restic-laptop --shell /usr/sbin/nologin restic-laptop
install -d -m 755 -o root -g root /srv/restic-sftp/restic-laptop
install -d -m 700 -o restic-laptop -g restic-laptop /srv/restic-sftp/restic-laptop/repo
install -d -m 700 -o restic-laptop -g restic-laptop /srv/restic-sftp/restic-laptop/.ssh
echo 'ssh-ed25519 AAAA...client-key... laptop' > /srv/restic-sftp/restic-laptop/.ssh/authorized_keys
chown restic-laptop:restic-laptop /srv/restic-sftp/restic-laptop/.ssh/authorized_keys
chmod 600 /srv/restic-sftp/restic-laptop/.ssh/authorized_keys

मैं rest-server को append-only और private repositories के साथ कैसे चलाऊँ?

Debian 13 पर, restic-rest-server install करें, इसे /home के बाहर एक data folder पर इंगित करें, और इसकी defaults फ़ाइल में --append-only --private-repos सहित TLS पास करें। packaged service restic-rest-server user के रूप में चलती है, /etc/default/restic-rest-server से BACKUP_DIR, LISTEN और ARGS पढ़ती है, BACKUP_DIR सेट होने तक शुरू होने से इंकार करती है, और daemon से /home छिपाती है। --private-repos के साथ, user laptop केवल /laptop/ के अंतर्गत repositories खोल सकता है, ताकि कई लोग एक ही storage VPS साझा कर सकें बिना एक-दूसरे के snapshots देखे। एक self-signed certificate पर्याप्त है, क्योंकि client इसे --cacert के साथ pin करता है।

apt install restic-rest-server apache2-utils openssl
install -d -m 750 -o restic-rest-server -g restic-rest-server /srv/restic

openssl req -x509 -newkey rsa:3072 -nodes -days 3650 \
    -keyout /etc/restic-rest-server/key.pem -out /etc/restic-rest-server/cert.pem \
    -subj '/CN=coffer-backup' -addext 'subjectAltName=IP:203.0.113.10'
chown root:restic-rest-server /etc/restic-rest-server/key.pem
chmod 640 /etc/restic-rest-server/key.pem

cat > /etc/default/restic-rest-server <<'EOF'
BACKUP_DIR=/srv/restic
LISTEN=:8000
ARGS="--htpasswd-file /etc/restic-rest-server/users.htpasswd --append-only --private-repos --tls --tls-cert /etc/restic-rest-server/cert.pem --tls-key /etc/restic-rest-server/key.pem"
EOF

htpasswd -B /etc/restic-rest-server/users.htpasswd laptop
chown root:restic-rest-server /etc/restic-rest-server/users.htpasswd
chmod 640 /etc/restic-rest-server/users.htpasswd
systemctl enable restic-rest-server
systemctl restart restic-rest-server

mkdir -p ~/.config/restic
scp [email protected]:/etc/restic-rest-server/cert.pem ~/.config/restic/coffer.pem

cat > ~/.config/restic/coffer.env <<'EOF'
RESTIC_REPOSITORY=rest:https://203.0.113.10:8000/laptop/
RESTIC_REST_USERNAME=laptop
RESTIC_REST_PASSWORD=the-htpasswd-password
RESTIC_PASSWORD_FILE=/home/me/.config/restic/repo-password
RESTIC_CACERT=/home/me/.config/restic/coffer.pem
EOF
chmod 600 ~/.config/restic/coffer.env

set -a; . ~/.config/restic/coffer.env; set +a
restic init
restic backup ~/Documents ~/Pictures

जब rest-server append-only हो तो मैं snapshots कैसे prune करूँ?

एक भरोसेमंद admin मशीन से forget --prune ऐसे path पर चलाएँ जो append-only न हो, और policy --keep-within से लिखें। rest-server repository को एक local repository जैसे ही layout में रखता है, इसलिए root के रूप में SFTP उसी folder तक पहुँचता है, और repository password कभी VPS पर टाइप नहीं करना पड़ता।

--keep-within वाला हिस्सा मायने रखता है। restic का documentation एक ऐसे हमलावर का वर्णन करता है जो append-only repository में खाली snapshots जोड़ता है ताकि one snapshot per week जैसी policy असली snapshots को गिरा दे; time-based policy कचरे और असली snapshots दोनों रखती है। यह केवल तब मदद करती है जब forget चलते समय system clock सही हो, और यह restic snapshots पर पहले एक नज़र डालने को छोड़ने का कारण नहीं है।

restic -r sftp:[email protected]:/srv/restic/laptop snapshots
restic -r sftp:[email protected]:/srv/restic/laptop forget --keep-within 90d --prune
restic -r sftp:[email protected]:/srv/restic/laptop check --read-data-subset=5%

मुझे कौन सा backend चुनना चाहिए?

जब भी जिस मशीन का backup लिया जा रहा है वह internet का सामना करती है तो rest-server चुनें; एक अकेली, अच्छी तरह रखी गई मशीन के लिए SFTP चुनें जहाँ सरलता जीतती है। एक append-only target को वह हमलावर खाली नहीं कर सकता जो आपके server को encrypt करता है, और वह एक गुण अतिरिक्त daemon से अधिक महत्वपूर्ण है।

restic target की लागत प्रति TB कितनी है?

Coffervale के 2 नवंबर 2026 के सर्वे के अनुसार, Backblaze B2, जो एक object store है जिसे restic मूल रूप से सपोर्ट करता है, की लागत $6.95 प्रति TB प्रति माह थी, जबकि ऐसे होस्ट्स के storage VPS plans जो बिना ID दस्तावेज़ के crypto लेते हैं, का माध्यिक $4.00 प्रति TB था। एक object store को बनाए रखने के लिए किसी सर्वर की ज़रूरत नहीं होती लेकिन यह यहाँ चर्चा किए गए दोनों backends में से कोई नहीं देता; एक storage VPS दोनों चलाता है। हम आपके सर्वर का कोई बैकअप नहीं लेते और आपके डेटा की कोई प्रति कहीं और नहीं रखते, इसलिए Coffervale storage VPS पर जो है वह आपकी कॉपियों में से एक होना चाहिए, कभी अकेली नहीं: VPS आपकी off-site प्रति है, जैसा कि मैं off-site बैकअप के लिए VPS कैसे इस्तेमाल करूँ? में समझाया गया है। अगर आप इसके बजाय Borg इस्तेमाल करना चाहें, तो मैं VPS पर Borg बैकअप सर्वर कैसे सेट अप करूँ? का पालन करें; नीचे की डिस्क को एन्क्रिप्ट करने के लिए, मैं Linux VPS पर storage disk को कैसे mount और format करूँ? देखें। plans और शर्तें storage VPS की लागत प्रति माह कितनी है? पर हैं।