Come uso uno storage VPS per backup off-site?

Cosa ti offre un backup VPS che un RAID o uno snapshot non offre?

Un backup VPS conserva una copia separata e versionata dei tuoi dati in un altro edificio, raggiunta con credenziali proprie. È l'unica proprietà che i soliti sostituti non hanno. La ridondanza del disco mantiene un server attivo anche con un disco guasto; non annulla un'eliminazione, un ransomware o un account perso, quindi non è un backup. Uno snapshot risiede sugli stessi dischi del server che cattura, quindi può annullare un errore ma non è una copia fuori sede.

Nelle ricerche, "backup VPS" significa due cose: fare il backup di un VPS altrove e usare un VPS come luogo in cui arrivano i backup. È un unico lavoro visto da entrambi i lati: un server di produzione invia archivi Borg o restic a uno storage VPS esattamente come fa un laptop.

Perché un solo VPS di storage non è un backup 3-2-1?

Perché 3-2-1 conta le copie, i supporti e i luoghi, e un solo VPS è una copia in un solo luogo. La regola, come la enuncia il documento di US-CERT Data Backup Options, è tre copie di ogni file importante, su due diversi tipi di supporto, con una copia conservata fuori sede. Uno storage VPS è una copia in un unico posto. La regola 3-2-1 chiede tre copie, su due tipi di supporto, con una fuori sede: uno storage VPS si adatta come quella copia fuori sede, accanto a due che tieni tu.

Una configurazione che la soddisfa per un home lab o un piccolo team:

• Copia 1: i dati attivi sul tuo laptop, server o NAS.
• Copia 2: un backup locale su un disco USB o un secondo NAS, da cui ripristinare in fretta.
• Copia 3: il VPS di storage: cifrato, append-only, in una città dove non vivi né lavori.

Un backup tenuto in un solo luogo è un single point of failure con un nome rassicurante.

Come invio i backup da un server a un VPS di storage via SSH?

Dai a ogni macchina la sua chiave SSH, il suo account o il suo percorso sul VPS e il suo repository, poi lascia che lo strumento di backup faccia il resto via SSH. Borg richiede Borg installato sul VPS ed esegue borg serve lì; restic può scrivere via SFTP semplice senza nulla in più sul server, oppure parlare HTTP con rest-server. Chiavi separate significano che un laptop rubato espone un solo repository, non tutti.

# On the machine you back up: a key used for backups only
ssh-keygen -t ed25519 -N '' -C 'backup web1' -f ~/.ssh/backup_ed25519
cat ~/.ssh/backup_ed25519.pub

# On the storage VPS, as root: one account per machine, holding that key
mkdir -p /srv/backup
useradd --create-home --home-dir /srv/backup/web1 --shell /bin/sh backup-web1
install -d -m 700 -o backup-web1 -g backup-web1 /srv/backup/web1/.ssh
echo 'ssh-ed25519 AAAA...paste-the-key... backup web1' >> /srv/backup/web1/.ssh/authorized_keys
chown backup-web1:backup-web1 /srv/backup/web1/.ssh/authorized_keys

# Back on the client: a short SSH alias, then restic over SFTP
cat >> ~/.ssh/config <<'EOF'
Host coffer
    HostName 203.0.113.10
    User backup-web1
    IdentityFile ~/.ssh/backup_ed25519
    IdentitiesOnly yes
EOF
restic -r sftp:coffer:/srv/backup/web1/repo init
restic -r sftp:coffer:/srv/backup/web1/repo backup /etc /home /var/www

Perché cifrare sul client invece che sul VPS?

Perché così il VPS memorizza solo testo cifrato, e nessuno che arrivi al suo disco può leggere i tuoi file. Chiunque gestisca un hypervisor può tecnicamente leggere un disco virtuale non cifrato, in qualsiasi host VPS. Noi non apriamo i tuoi file, e i dati che cifri prima che lascino la tua macchina tolgono la questione dal tavolo. KVM dà al tuo server un kernel proprio, così puoi mettere LUKS sul disco dati o usare ZFS con crittografia nativa, e le chiavi non lasciano mai te. Per i backup, cifra sulla tua macchina prima dell'upload (Borg, restic e Kopia lo fanno tutti), così il server contiene solo testo cifrato.

Borg chiede una modalità di cifratura a borg init; la sua documentazione consiglia repokey con una passphrase robusta e dice di tenere una copia della chiave fuori sia dal repository sia dalla macchina che viene salvata. restic cifra tutti i dati che memorizza con AES-256 e li autentica con Poly1305-AES, senza modalità non cifrate. Tieni la passphrase e la chiave esportata in un password manager e su carta. La cifratura fatta sul server protegge il server; la cifratura fatta sulla tua macchina protegge te.

Da cosa protegge la modalità append-only?

Append-only impedisce a un client compromesso di cancellare i backup che ha creato. Un attaccante che controlla un server controlla anche le sue credenziali di backup, e in modalità normale queste possono eseguire borg delete o restic forget --prune prima che compaia la nota di riscatto.

• Borg: aggiungi --append-only al comando borg serve forzato in authorized_keys. La documentazione di Borg nota che prune e delete in questa modalità vengono comunque eseguiti ma marcano solo i dati come eliminati: non si libera spazio e non avviene alcuna compattazione.
• restic: avvia rest-server con --append-only, che accetta nuovi backup e rifiuta di eliminare o modificare quelli esistenti. Il semplice SFTP non ha una modalità del genere.

Il prezzo è la manutenzione: il prune richiede una seconda chiave senza restrizioni, usata da una macchina che l'attaccante non può raggiungere. Sui repository restic append-only, la documentazione di restic ti dice di scrivere le policy forget con --keep-within. La ricetta completa per Borg è in How do I set up a Borg backup server on a VPS?, e la scelta di restic in Restic: REST server or SFTP for backups to a VPS?.

Come faccio a sapere che il mio backup off-site si ripristinerà?

Ripristinalo, con una pianificazione, su una macchina che non è quella originale. Un job che termina con stato 0 dimostra che l'upload ha funzionato, non che i tuoi file tornino indietro. Distribuisci i controlli in modo che quelli lenti girino di rado:

Quanto dura un ripristino completo e rientra nella quota di traffico?

Alla velocità piena della linea una porta da 1 Gbit/s sposta 1 TB in circa 2 ore e 15 minuti; in pratica la tua connessione e i dischi rigidi impongono un ritmo più lento. Quel dato è aritmetica (8.000 gigabit a un gigabit al secondo), non una velocità misurata, quindi cronometra il ripristino di una cartella reale prima di farci affidamento.

La quota di traffico mensile di ogni piano è più del doppio del suo disco, 4 TB al mese sul piano Clay da 1 TB per esempio, quindi caricare un disco pieno e ripristinarlo tutto nello stesso mese resta dentro la quota. Ogni server ha un indirizzo IPv4 e un IPv6 /64 su una porta da 1 Gbit/s, con una quota di traffico mensile di 2 TB più 2 TB per ogni TB archiviato: 3 TB per Silt, 4 TB per Clay, 6 TB per Shale, 10 TB per Granite, 18 TB per Bedrock. Superata la quota, la porta va a 100 Mbit/s fino all'inizio del periodo successivo; non viene fatturato nulla in più.

Quanto costa per TB un target di backup off-site?

Secondo l'indagine di Coffervale del 2 novembre 2026, i piani storage VPS di host che accettano criptovalute e non chiedono un documento d'identità costano una mediana di $4.00 per TB al mese, mentre i piani VPS general-purpose degli stessi host costano $223.44 per TB, circa 56 volte tanto. I backup vanno su dischi dimensionati per la capacità. Lo storage di backup ospitato non ti dà un server tuo, come mostra la tabella; il compromesso è valutato in Uno storage VPS è un'alternativa più economica a rsync.net o BorgBase?. Ogni piano e condizione è su Quanto costa al mese uno storage VPS?, e il piano da 1 TB in dettaglio su Dove posso ottenere un VPS con 1 TB di storage?.