ストレージVPSでBorgバックアップサーバーをセットアップするにはどうすればよいですか？

サーバーはどのBorgバージョンを実行すべきですか？

両端でBorg 1.xを実行してください。1.4.5が2026年11月2日時点の最新安定版で、Borg 2はまだベータ版です。 Borg 2.0のページでは、Borg 1.xのリポジトリと直接互換性のない破壊的リリースとされ、borg initがborg repo-createに改名されています。Debian 13でインストールすべきパッケージはborgbackupです（trixieでは1.4.0）。別個のborgbackup2パッケージは2.0のベータ版です。サーバーとすべてのクライアントに同じリリースをインストールしてください。

apt install borgbackup
borg --version

useradd --create-home --home-dir /srv/borg --shell /bin/sh borg
install -d -m 700 -o borg -g borg /srv/borg/.ssh /srv/borg/repos
install -d -m 700 -o borg -g borg /srv/borg/repos/laptop /srv/borg/repos/web1

各クライアントを自分のリポジトリだけに制限するにはどうすればよいですか？

/srv/borg/.ssh/authorized_keys内のすべてのキーの前に強制borg serveコマンドを置き、そのキーがBorgだけを実行できるようにします。 restrictキーワードはポート転送、エージェント転送、ターミナルをブロックし、Borgのドキュメントによれば将来のリリースで追加されるSSH機能も対象になります。例ではアカウントのログインシェルとしてPOSIXシェルを想定しているため、上記のユーザーには/bin/shを設定します。

• --restrict-to-path PATHはそのパスと配下のすべてのフォルダを許可するので、1つのクライアントが複数のリポジトリを持てます。
• --restrict-to-repository PATHはより厳格で、リポジトリはちょうど1つ、サブフォルダは不可です。
• --append-onlyはキーがアーカイブを追加できるようにしますが、リポジトリからデータを削除することはできません。
• --storage-quota 500Gは1つのキーが保存できる量を制限するので、暴走したクライアントがディスクを埋めることはありません。

各行はファイル内で1行のままにします。最後の管理キーには--append-onlyがなく、pruneにのみ使用します。

command="borg serve --restrict-to-path /srv/borg/repos/laptop --append-only",restrict ssh-ed25519 AAAA...laptop-key... laptop
command="borg serve --restrict-to-path /srv/borg/repos/web1 --append-only --storage-quota 500G",restrict ssh-ed25519 AAAA...web1-key... web1
command="borg serve --restrict-to-path /srv/borg/repos",restrict ssh-ed25519 AAAA...admin-key... admin

chown borg:borg /srv/borg/.ssh/authorized_keys
chmod 600 /srv/borg/.ssh/authorized_keys

repokey暗号化でリポジトリを作成するにはどうすればよいですか？

クライアントでborg init --encryption=repokeyを実行し、その後キーをエクスポートして、VPSとバックアップ対象のマシンの両方の外に保管してください。 Borgのドキュメントでは、経験則として強力なパスフレーズを付けたrepokeyを推奨しています。repokey-blake2は同じモードでBLAKE2bハッシュを使用し、ハードウェアアクセラレーションされたSHA-256がないプロセッサではおそらく高速です。repokeyでは、キーはリポジトリのconfigファイル内にあり、パスフレーズで封印されています。パスフレーズを失うと、バックアップはあなたにも他の誰にも読めなくなります。Borgはまた、キーのオフサイトコピー（たとえば紙に書いたもの）を保管する必要があると述べています。

ssh-keygen -t ed25519 -N '' -C 'borg laptop' -f ~/.ssh/borg_ed25519

cat >> ~/.ssh/config <<'EOF'
Host coffer-borg
    HostName 203.0.113.10
    User borg
    IdentityFile ~/.ssh/borg_ed25519
    IdentitiesOnly yes
EOF

export BORG_REPO=ssh://coffer-borg/srv/borg/repos/laptop/main
borg init --encryption=repokey
borg key export --paper "$BORG_REPO" ~/borg-laptop-key.txt

#!/bin/sh
export BORG_REPO=ssh://coffer-borg/srv/borg/repos/web1/main
# the passphrase file belongs to root, mode 600
export BORG_PASSCOMMAND='cat /root/.config/borg/passphrase'

borg create --stats --compression zstd,3 \
    ::'{hostname}-{now:%Y-%m-%dT%H:%M}' \
    /etc /home /var/www

append-onlyリポジトリをpruneしてcompactするにはどうすればよいですか？

信頼できる管理マシンから、--append-onlyのないキーを使用し、アーカイブが欠落していないことを確認した後で行います。 append-onlyモードでは、Borgの注記によれば、pruneとdeleteは実行されますが、新しいトランザクションでデータを削除済みとしてタグ付けするだけで、compactionは警告もエラーもなく一切行われません。リポジトリのスペースは、書き換えが許可されたキーからborg compactを実行するまで解放されません。

同じ注記には落とし穴もあります。通常モードでの最初の書き込みで、攻撃者がクライアントキーを通じて行ったものを含め、以前のすべての削除が永続的になります。したがって、まずアーカイブを一覧表示してください。いくつかが欠落している場合は、何かをpruneする前に停止し、Borgのappend-onlyに関する注記の復旧手順に従ってください。制限のないキーで自動的にpruneするcronジョブは、append-onlyを無意味にします。Borgのドキュメントではまた、実際のpruneの前に毎回--listを付けた--dry-runを推奨しています。

export BORG_REPO=ssh://coffer-admin/srv/borg/repos/web1/main

borg list
borg prune -v --list --dry-run --keep-daily=7 --keep-weekly=4 --keep-monthly=6
borg prune -v --list --keep-daily=7 --keep-weekly=4 --keep-monthly=6
borg compact

リポジトリをチェックし、リストアが機能することを証明するにはどうすればよいですか？

borg checkを毎週、borg check --verify-dataを毎月実行し、数か月ごとに実際のファイルを別のマシンに展開してください。 通常のチェックはリポジトリとアーカイブのメタデータを検証します。--verify-dataはすべてのチャンクを読み取り、復号化し、展開します。Borgはこれを非常に時間がかかると述べており、ハードディスクではその通りです。大規模なリポジトリの場合、--repository-only --max-duration 3600はリポジトリチェックを1時間単位のスライスに分割し、停止した場所から再開します。これらいずれも実際のリストアの代わりにはなりません。バックアップは、最後にデータを取り出したときの状態でしか価値がありません。

export BORG_REPO=ssh://coffer-borg/srv/borg/repos/web1/main

borg check -v
borg check -v --verify-data
borg check -v --repository-only --max-duration 3600

mkdir -p /tmp/restore-test && cd /tmp/restore-test
borg list
borg extract --list ::web1-2026-11-02T03:00 etc/nginx

Borgターゲットのコストは、ホステッドBorgストレージと比べてどうですか？

Coffervaleの2026年11月2日の調査によると、ホステッドBorgストレージのコストはBorgBaseで1TBあたり月額$9.17（1TBのMediumプラン、年額$110.00）、rsync.netで1TBあたり$15.00でした。一方、本人確認書類なしで暗号資産を受け付けるホストのストレージVPSプランは1TBあたり中央値$4.00でした。 ホステッドサービスはサーバーを代行して運用します。ストレージVPSはrootと上記のセットアップをあなたに渡します。この選択についてはストレージVPSはrsync.netやBorgBaseのより安価な代替手段ですか？で検討しています。当社はお客様のサーバーのバックアップを取得せず、お客様のデータのコピーを他のどこにも保存しません。そのため、CoffervaleのストレージVPSに置くものは、お客様のコピーの1つであるべきで、唯一のコピーにしてはいけませんなので、Borgサーバーは複数のコピーの1つにすぎません。VPSをオフサイトバックアップに使うにはどうすればよいですか？で説明しています。1TBプランの詳細は1TBのストレージがあるVPSはどこで入手できますか？にあり、resticを好む場合はRestic：VPSへのバックアップにはRESTサーバーかSFTPか？をお読みください。VPSディスクも暗号化するには、Linux VPSでストレージディスクをマウントしてフォーマットするにはどうすればよいですか？をご覧ください。