Restic: REST server atau SFTP untuk backup ke storage VPS?

Apakah rest-server lebih cepat daripada SFTP?

Proyek rest-server menyatakan ya: dibandingkan SFTP, backend REST berperforma lebih baik dan lebih mudah diskalakan. README-nya menjelaskan alasannya: SFTP memindahkan data dalam potongan maksimal 32 KiB dan server mengonfirmasi setiap paket, sedangkan REST mengirim seluruh file melalui HTTP. HTTP biasa juga menghilangkan beban TLS, karena restic sudah mengenkripsi semua yang dikirimnya; README menambahkan bahwa HTTPS kemudian terutama berfungsi melindungi proses login. Itu klaim proyek itu sendiri, bukan benchmark yang kami jalankan. Pada storage VPS dengan hard disk, kecepatan disk dan uplink Anda sering kali menentukan sebelum protokolnya.

Di sisi klien, SFTP punya satu gangguan yang diketahui: dokumentasi restic mencatat bahwa server SFTP menutup koneksi bila tidak menerima apa pun untuk sementara waktu, yang bisa dipicu oleh pemindaian panjang file yang tidak berubah.

Kapan SFTP biasa menjadi pilihan yang lebih baik?

Ketika satu mesin yang Anda percaya mem-backup ke akunnya sendiri dan Anda tidak ingin layanan tambahan, port tambahan, maupun hal baru untuk di-patch. restic hanya membutuhkan restic -r sftp:user@host:/path init dan SSH key tanpa prompt passphrase, karena backup otomatis tidak bisa berhenti untuk memintanya. Kelemahannya adalah yang paling penting melawan ransomware: siapa pun yang mengendalikan klien juga dapat menjalankan restic forget --prune dan menghapus semua snapshot, karena SFTP tidak memiliki mode append-only.

Agar setiap akun SFTP tidak bisa menelusuri bagian lain server, OpenSSH dapat menguncinya di foldernya sendiri tanpa shell:

Match User restic-laptop
    ForceCommand internal-sftp
    ChrootDirectory /srv/restic-sftp/%u
    AllowTcpForwarding no
    X11Forwarding no

useradd --no-create-home --home-dir /srv/restic-sftp/restic-laptop --shell /usr/sbin/nologin restic-laptop
install -d -m 755 -o root -g root /srv/restic-sftp/restic-laptop
install -d -m 700 -o restic-laptop -g restic-laptop /srv/restic-sftp/restic-laptop/repo
install -d -m 700 -o restic-laptop -g restic-laptop /srv/restic-sftp/restic-laptop/.ssh
echo 'ssh-ed25519 AAAA...client-key... laptop' > /srv/restic-sftp/restic-laptop/.ssh/authorized_keys
chown restic-laptop:restic-laptop /srv/restic-sftp/restic-laptop/.ssh/authorized_keys
chmod 600 /srv/restic-sftp/restic-laptop/.ssh/authorized_keys

Bagaimana cara menjalankan rest-server dengan repositori append-only dan privat?

Di Debian 13, instal restic-rest-server, arahkan ke folder data di luar /home, dan berikan --append-only --private-repos plus TLS di file defaults-nya. Layanan dari paket berjalan sebagai user restic-rest-server, membaca BACKUP_DIR, LISTEN dan ARGS dari /etc/default/restic-rest-server, menolak start sampai BACKUP_DIR diatur, dan menyembunyikan /home dari daemon. Dengan --private-repos, user laptop hanya boleh membuka repositori di bawah /laptop/, sehingga beberapa orang dapat berbagi satu storage VPS tanpa saling melihat snapshot. Sertifikat self-signed sudah cukup, karena klien mem-pin-nya dengan --cacert.

apt install restic-rest-server apache2-utils openssl
install -d -m 750 -o restic-rest-server -g restic-rest-server /srv/restic

openssl req -x509 -newkey rsa:3072 -nodes -days 3650 \
    -keyout /etc/restic-rest-server/key.pem -out /etc/restic-rest-server/cert.pem \
    -subj '/CN=coffer-backup' -addext 'subjectAltName=IP:203.0.113.10'
chown root:restic-rest-server /etc/restic-rest-server/key.pem
chmod 640 /etc/restic-rest-server/key.pem

cat > /etc/default/restic-rest-server <<'EOF'
BACKUP_DIR=/srv/restic
LISTEN=:8000
ARGS="--htpasswd-file /etc/restic-rest-server/users.htpasswd --append-only --private-repos --tls --tls-cert /etc/restic-rest-server/cert.pem --tls-key /etc/restic-rest-server/key.pem"
EOF

htpasswd -B /etc/restic-rest-server/users.htpasswd laptop
chown root:restic-rest-server /etc/restic-rest-server/users.htpasswd
chmod 640 /etc/restic-rest-server/users.htpasswd
systemctl enable restic-rest-server
systemctl restart restic-rest-server

mkdir -p ~/.config/restic
scp [email protected]:/etc/restic-rest-server/cert.pem ~/.config/restic/coffer.pem

cat > ~/.config/restic/coffer.env <<'EOF'
RESTIC_REPOSITORY=rest:https://203.0.113.10:8000/laptop/
RESTIC_REST_USERNAME=laptop
RESTIC_REST_PASSWORD=the-htpasswd-password
RESTIC_PASSWORD_FILE=/home/me/.config/restic/repo-password
RESTIC_CACERT=/home/me/.config/restic/coffer.pem
EOF
chmod 600 ~/.config/restic/coffer.env

set -a; . ~/.config/restic/coffer.env; set +a
restic init
restic backup ~/Documents ~/Pictures

Bagaimana cara prune snapshot ketika rest-server bersifat append-only?

Jalankan forget --prune dari mesin admin yang tepercaya melalui path yang tidak append-only, dan tulis kebijakannya dengan --keep-within. rest-server menyimpan repositori dalam tata letak yang sama seperti repositori lokal, jadi SFTP sebagai root mencapai folder yang sama persis, dan password repositori tidak pernah harus diketik di VPS.

Bagian --keep-within itu penting. Dokumentasi restic menjelaskan penyerang yang menambahkan snapshot kosong ke repositori append-only sehingga kebijakan seperti satu snapshot per minggu menghapus snapshot asli; kebijakan berbasis waktu mempertahankan sampah maupun snapshot asli. Ini hanya membantu bila jam sistem benar saat forget berjalan, dan bukan alasan untuk melewatkan pemeriksaan restic snapshots terlebih dahulu.

restic -r sftp:[email protected]:/srv/restic/laptop snapshots
restic -r sftp:[email protected]:/srv/restic/laptop forget --keep-within 90d --prune
restic -r sftp:[email protected]:/srv/restic/laptop check --read-data-subset=5%

Backend mana yang harus saya pilih?

Pilih rest-server setiap kali mesin yang di-backup menghadap internet; pilih SFTP untuk satu mesin yang terawat baik dan kesederhanaan lebih diutamakan. Target append-only tidak dapat dikosongkan oleh penyerang yang mengenkripsi server Anda, dan satu sifat itu lebih penting daripada daemon tambahan.

Berapa biaya target restic per TB?

Menurut survei Coffervale pada 2 November 2026, Backblaze B2, object store yang didukung restic secara native, berbiaya $6.95 per TB per bulan, sementara paket storage VPS dari host yang menerima kripto tanpa dokumen identitas memiliki median $4.00 per TB. Object store tidak perlu server untuk dirawat tetapi tidak menawarkan kedua backend yang dibahas di sini; storage VPS menjalankan keduanya. Kami tidak membuat backup server Anda dan tidak menyimpan salinan data Anda di tempat lain mana pun, jadi yang ada di storage VPS Coffervale harus menjadi salah satu salinan Anda, jangan pernah satu-satunya: VPS adalah salinan off-site Anda, seperti yang dijelaskan Bagaimana cara menggunakan VPS untuk backup off-site?. Jika Anda lebih memilih Borg, ikuti Bagaimana cara menyiapkan server backup Borg di VPS?; untuk mengenkripsi disk di bawahnya, lihat Bagaimana cara me-mount dan memformat disk penyimpanan di VPS Linux?. Paket dan ketentuannya ada di Berapa biaya storage VPS per bulan?.