ストレージVPSをオフサイトバックアップに使うにはどうすればよいですか？

RAIDやスナップショットにはない、バックアップVPSの利点とは？

バックアップVPSは、別の建物にデータの独立したバージョン管理されたコピーを保持し、専用の認証情報でアクセスします。 これが、よくある代替手段に欠けている唯一の特性です。ディスクの冗長化は、ドライブ障害が発生してもサーバーを稼働させ続けますが、削除、ランサムウェア、アカウントの喪失を元に戻すものではないため、バックアップではありません. スナップショットは、取得元のサーバーと同じディスク上にあるため、操作ミスを巻き戻すことはできますが、オフサイトのコピーではありません.

検索では「バックアップVPS」は2つの意味を持ちます: VPSを別の場所にバックアップすること、そしてVPSをバックアップの保存先として使うことです。これはどちらの端から見ても同じ作業です。本番サーバーは、ノートPCとまったく同じようにBorgやresticのアーカイブをストレージVPSにプッシュします。

1台のストレージVPSが3-2-1バックアップにならないのはなぜですか？

3-2-1はコピー、メディア、場所を数えるものであり、1台のVPSは1つの場所にある1つのコピーにすぎないからです。 US-CERTの論文Data Backup Optionsが定めるこのルールは、重要なすべてのファイルのコピーを3つ、2種類の異なるメディアに、1つはオフサイトに保存するというものです。1台のストレージVPSは1か所にある1つのコピーです。3-2-1ルールでは、3つのコピーを2種類の媒体に置き、そのうち1つをオフサイトにすることが求められます。ストレージVPSは、ご自身で保持する2つのコピーと並べて、オフサイトのコピーとして適しています。

自宅ラボや小規模チームでこれを満たす構成は次のとおりです。

• コピー1： ノートPC、サーバー、NAS上の稼働中データ。
• コピー2： USBディスクや2台目のNASへのローカルバックアップ。復元が素早くできます。
• コピー3： ストレージVPS。暗号化され、追記専用で、自分が住んでいない・働いていない都市に置きます。

1か所にだけ保管されたバックアップは、安心させる名前が付いた単一障害点にすぎません。

サーバーからストレージVPSへSSH経由でバックアップを送るにはどうすればよいですか？

各マシンに専用のSSHキー、VPS上の専用アカウントまたはパス、専用リポジトリを用意し、あとはバックアップツールにSSH経由で処理させます。 BorgはVPS側にBorgがインストールされている必要があり、そこでborg serveを実行します。resticはサーバー側に何も追加せずに素のSFTP経由で書き込むことも、rest-serverとHTTPで通信することもできます。キーを分ければ、ノートPCが1台盗まれても露出するのは1つのリポジトリだけであり、すべてではありません。

# On the machine you back up: a key used for backups only
ssh-keygen -t ed25519 -N '' -C 'backup web1' -f ~/.ssh/backup_ed25519
cat ~/.ssh/backup_ed25519.pub

# On the storage VPS, as root: one account per machine, holding that key
mkdir -p /srv/backup
useradd --create-home --home-dir /srv/backup/web1 --shell /bin/sh backup-web1
install -d -m 700 -o backup-web1 -g backup-web1 /srv/backup/web1/.ssh
echo 'ssh-ed25519 AAAA...paste-the-key... backup web1' >> /srv/backup/web1/.ssh/authorized_keys
chown backup-web1:backup-web1 /srv/backup/web1/.ssh/authorized_keys

# Back on the client: a short SSH alias, then restic over SFTP
cat >> ~/.ssh/config <<'EOF'
Host coffer
    HostName 203.0.113.10
    User backup-web1
    IdentityFile ~/.ssh/backup_ed25519
    IdentitiesOnly yes
EOF
restic -r sftp:coffer:/srv/backup/web1/repo init
restic -r sftp:coffer:/srv/backup/web1/repo backup /etc /home /var/www

VPS上ではなくクライアント側で暗号化するのはなぜですか？

そうすればVPSは暗号文しか保存せず、そのディスクに到達した者もあなたのファイルを読めないからです。 ハイパーバイザーを運用する者は、技術的には暗号化されていない仮想ディスクを読み取れます。これはどのVPSホストでも同じです。当社はお客様のファイルを開かず、お客様のマシンから出る前に暗号化されたデータについては、その懸念自体が生じません。KVMではサーバーが独自のカーネルを持つため、データディスクにLUKSを設定したり、ZFSをネイティブ暗号化付きで実行したりでき、鍵がお客様の手を離れることはありません。バックアップは、アップロード前にご自身のマシンで暗号化してください(Borg、restic、Kopiaはいずれも対応しています)。これにより、サーバーには暗号文しか保存されません。

Borgはborg initで暗号化モードを尋ねます。そのドキュメントでは、強力なパスフレーズとともにrepokeyを推奨し、キーのコピーをリポジトリとバックアップ対象マシンの両方の外に保管するよう指示しています。resticは保存するすべてのデータをAES-256で暗号化し、Poly1305-AESで認証します。非暗号化モードはありません。パスフレーズとエクスポートしたキーはパスワードマネージャーと紙の両方に保管してください。サーバー上で行う暗号化はサーバーを守りますが、自分のマシン上で行う暗号化は自分を守ります。

追記専用モードは何から守りますか？

追記専用モードは、侵害されたクライアントが自身の作成したバックアップを消去するのを防ぎます。 サーバーを掌握した攻撃者はそのバックアップ認証情報も掌握しており、通常モードでは身代金のメモが現れる前にborg deleteやrestic forget --pruneを実行できてしまいます。

• Borg： authorized_keysで強制されるborg serveコマンドに--append-onlyを追加します。Borgのドキュメントによれば、このモードでもpruneとdeleteは実行されますが、データに削除のタグを付けるだけで、領域は解放されずコンパクションも行われません。
• restic： rest-serverを--append-only付きで起動します。新しいバックアップは受け付けますが、既存のバックアップの削除や変更は拒否します。素のSFTPにはそのようなモードはありません。

代償はメンテナンス作業です。pruneには制限のない2つ目のキーが必要で、攻撃者が到達できないマシンから使用します。追記専用のresticリポジトリでは、resticのドキュメントは--keep-withinでforgetポリシーを書くよう指示しています。Borgの詳細な手順はHow do I set up a Borg backup server on a VPS?に、resticの選択肢はRestic: REST server or SFTP for backups to a VPS?にあります。

自分のオフサイトバックアップが復元できるかどうかは、どうやって確認すればよいですか？

元のマシンではないマシンに、スケジュールを決めて復元してください。 ステータス0で終了するジョブはアップロードが成功したことの証明にすぎず、ファイルが戻ってくることの証明にはなりません。チェックの頻度を分け、遅いものはまれに実行するようにしましょう：

完全な復元にはどのくらい時間がかかり、トラフィッククォータに収まりますか？

回線をフルに使えば1 Gbit/sポートで1 TBを約2時間15分で転送できますが、実際にはご自身の回線とハードディスクにより、より遅いペースになります。 この数字は計算値（毎秒1ギガビットで8,000ギガビット）であり、実測値ではないため、当てにする前に実際のフォルダの復元時間を計測してください。

各プランの月間トラフィッククォータはディスク容量の2倍以上で、たとえば1 TBのClayプランでは月4 TBです。そのため、同じ月にディスク全体をアップロードし、そのすべてを復元してもクォータ内に収まります。各サーバーにはIPv4アドレス1つとIPv6 /64が1 Gbit/sポート上で付与され、月間トラフィック枠は2 TBに保存容量1 TBあたり2 TBを加えたものです。Siltは3 TB、Clayは4 TB、Shaleは6 TB、Graniteは10 TB、Bedrockは18 TBです。枠を超えると次の期間が始まるまでポートは100 Mbit/sで動作し、追加の請求はありません。

オフサイトバックアップのターゲットは1 TBあたりいくらかかりますか？

2026年11月2日のCoffervaleの調査によると、暗号資産で支払いができ、身分証明書を求めないホストのストレージVPSプランは、1 TBあたり月額中央値$4.00でした。一方、同じホストの汎用VPSプランは1 TBあたり$223.44で、約56倍です。 バックアップは容量に合わせたディスクに置くべきです。表が示すように、ホステッドバックアップストレージでは自分専用のサーバーは得られません。このトレードオフはストレージVPSはrsync.netやBorgBaseより安い代替手段ですか？で比較しています。すべてのプランと条件はストレージVPSは月額いくらですか？に、1 TBプランの詳細は1 TBのストレージがあるVPSはどこで入手できますか？に掲載しています。