스토리지 VPS에 Borg 백업 서버를 어떻게 설정합니까?

서버는 어떤 Borg 버전을 실행해야 하나요?

양쪽 모두 Borg 1.x를 실행하세요. 1.4.5가 2026년 11월 2일 기준 최신 안정 릴리스였고, Borg 2는 아직 베타입니다. Borg 2.0 페이지는 이를 Borg 1.x 저장소와 직접 호환되지 않는 호환성 깨는 릴리스라고 설명하며, borg init의 이름을 borg repo-create로 변경합니다. Debian 13에서 설치할 패키지는 borgbackup입니다(trixie에서는 1.4.0). 별도의 borgbackup2 패키지는 2.0 베타입니다. 서버와 모든 클라이언트에 동일한 릴리스를 설치하세요.

apt install borgbackup
borg --version

useradd --create-home --home-dir /srv/borg --shell /bin/sh borg
install -d -m 700 -o borg -g borg /srv/borg/.ssh /srv/borg/repos
install -d -m 700 -o borg -g borg /srv/borg/repos/laptop /srv/borg/repos/web1

각 클라이언트를 자기 저장소에만 묶으려면 어떻게 하나요?

/srv/borg/.ssh/authorized_keys의 모든 키 앞에 강제 borg serve 명령을 붙여, 그 키로 Borg만 실행되고 다른 것은 못 하게 하세요. restrict 키워드는 포트 포워딩, 에이전트 포워딩, 터미널을 막으며, Borg 문서는 이것이 향후 릴리스에서 추가되는 SSH 기능까지 포괄한다고 밝히고 있습니다. 예시는 계정의 로그인 셸이 POSIX 셸이라고 가정하므로, 위의 사용자는 /bin/sh이 됩니다.

• --restrict-to-path PATH는 해당 경로와 그 아래의 모든 폴더를 허용하므로, 한 클라이언트가 여러 저장소를 가질 수 있습니다.
• --restrict-to-repository PATH는 더 엄격합니다. 정확히 하나의 저장소만, 하위 폴더는 허용하지 않습니다.
• --append-only은 키가 아카이브를 추가할 수는 있지만 저장소에서 데이터를 제거할 수는 없게 합니다.
• --storage-quota 500G은 키 하나가 저장할 수 있는 양을 제한하므로, 통제를 벗어난 클라이언트가 디스크를 채울 수 없습니다.

각 줄은 파일에서 한 줄로 유지됩니다. 끝에 있는 관리자 키에는 --append-only이 없으며 오직 pruning에만 사용됩니다.

command="borg serve --restrict-to-path /srv/borg/repos/laptop --append-only",restrict ssh-ed25519 AAAA...laptop-key... laptop
command="borg serve --restrict-to-path /srv/borg/repos/web1 --append-only --storage-quota 500G",restrict ssh-ed25519 AAAA...web1-key... web1
command="borg serve --restrict-to-path /srv/borg/repos",restrict ssh-ed25519 AAAA...admin-key... admin

chown borg:borg /srv/borg/.ssh/authorized_keys
chmod 600 /srv/borg/.ssh/authorized_keys

repokey 암호화로 저장소를 만들려면 어떻게 하나요?

클라이언트에서 borg init --encryption=repokey을 실행한 뒤 키를 내보내 VPS와 백업 대상 머신 모두 외부에 보관하세요. Borg 문서는 강력한 passphrase와 함께 repokey을 원칙으로 권장합니다. repokey-blake2는 BLAKE2b 해시를 쓰는 동일한 모드로, SHA-256 하드웨어 가속이 없는 프로세서에서는 더 빠를 가능성이 큽니다. repokey의 경우 키는 passphrase로 봉인되어 저장소의 config 파일에 있습니다. passphrase를 잃으면 백업은 본인도 다른 누구도 읽을 수 없습니다. Borg는 또한 키의 오프사이트 사본(예: 종이)을 보관해야 한다고 말합니다.

ssh-keygen -t ed25519 -N '' -C 'borg laptop' -f ~/.ssh/borg_ed25519

cat >> ~/.ssh/config <<'EOF'
Host coffer-borg
    HostName 203.0.113.10
    User borg
    IdentityFile ~/.ssh/borg_ed25519
    IdentitiesOnly yes
EOF

export BORG_REPO=ssh://coffer-borg/srv/borg/repos/laptop/main
borg init --encryption=repokey
borg key export --paper "$BORG_REPO" ~/borg-laptop-key.txt

#!/bin/sh
export BORG_REPO=ssh://coffer-borg/srv/borg/repos/web1/main
# the passphrase file belongs to root, mode 600
export BORG_PASSCOMMAND='cat /root/.config/borg/passphrase'

borg create --stats --compression zstd,3 \
    ::'{hostname}-{now:%Y-%m-%dT%H:%M}' \
    /etc /home /var/www

append-only 저장소를 prune하고 compact하려면 어떻게 하나요?

--append-only이 없는 키를 사용해, 신뢰할 수 있는 관리자 머신에서, 아카이브가 유실되지 않았는지 확인한 뒤에 하세요. Borg의 문서에 따르면 append-only 모드에서도 prune과 delete는 실행되지만 새 트랜잭션에서 데이터를 삭제됨으로 표시만 할 뿐이고, compaction은 경고도 오류도 없이 절대 일어나지 않습니다. 재작성이 허용된 키에서 borg compact을 실행하기 전까지는 저장소 공간이 회수되지 않습니다.

같은 문서에 함정도 있습니다. 일반 모드에서의 첫 쓰기는 이전의 모든 삭제를 영구화하며, 공격자가 클라이언트 키를 통해 한 삭제도 포함됩니다. 그래서 먼저 아카이브를 나열하세요. 일부가 없다면 멈추고, 무엇이든 prune하기 전에 Borg의 append-only 문서에 있는 복구 절차를 따르세요. 제한 없는 키로 자동 prune하는 cron 작업은 append-only를 무의미하게 만듭니다. Borg 문서는 또한 실제 prune 전에 매번 --list과 함께 --dry-run를 권장합니다.

export BORG_REPO=ssh://coffer-admin/srv/borg/repos/web1/main

borg list
borg prune -v --list --dry-run --keep-daily=7 --keep-weekly=4 --keep-monthly=6
borg prune -v --list --keep-daily=7 --keep-weekly=4 --keep-monthly=6
borg compact

저장소를 검사하고 복원이 제대로 되는지 어떻게 확인하나요?

매주 borg check을, 매달 borg check --verify-data을 실행하고, 몇 달에 한 번씩 다른 머신에 실제 파일을 추출하세요. 일반 check는 저장소와 아카이브 메타데이터를 검증합니다. --verify-data는 모든 청크를 읽고 복호화하고 압축 해제하며, Borg는 이를 매우 시간 소모적이라고 표현하는데 하드 디스크에서는 정말 그렇습니다. 큰 저장소의 경우 --repository-only --max-duration 3600은 저장소 검사를 1시간 단위 구간으로 나누어 중단된 지점에서 이어갑니다. 이 중 어느 것도 실제 복원을 대체하지 못합니다. 백업의 가치는 마지막으로 데이터를 꺼내본 시점까지만 보장됩니다.

export BORG_REPO=ssh://coffer-borg/srv/borg/repos/web1/main

borg check -v
borg check -v --verify-data
borg check -v --repository-only --max-duration 3600

mkdir -p /tmp/restore-test && cd /tmp/restore-test
borg list
borg extract --list ::web1-2026-11-02T03:00 etc/nginx

Borg 대상 비용은 호스팅 Borg 스토리지와 비교해 어느 정도인가요?

Coffervale의 2026년 11월 2일 조사에 따르면, 호스팅 Borg 스토리지는 BorgBase에서 TB당 월 $9.17(1 TB Medium 요금제, 연 $110.00), rsync.net에서 TB당 $15.00였고, 신분 서류 없이 암호화폐를 받는 호스트의 스토리지 VPS 요금제는 TB당 중앙값 $4.00였습니다. 호스팅 서비스는 서버를 대신 운영해 주고, 스토리지 VPS는 root와 위의 설정을 넘겨줍니다. 이 선택은 스토리지 VPS가 rsync.net이나 BorgBase보다 저렴한 대안인가요?에서 따져봤습니다. 저희는 사용자의 서버를 백업하지 않으며 다른 어디에도 데이터 사본을 보관하지 않습니다. 따라서 Coffervale 스토리지 VPS에 있는 데이터는 사용자의 사본 중 하나여야 하며, 유일한 사본이어서는 안 됩니다, 그래서 Borg 서버는 여러 사본 중 하나입니다(VPS를 오프사이트 백업에 어떻게 사용하나요?에서 설명합니다). 1 TB 요금제는 1 TB 스토리지 VPS는 어디서 구하나요?에 자세히 나와 있으며, restic을 선호한다면 Restic: VPS 백업에는 REST 서버와 SFTP 중 무엇을 쓰나요?을 읽어보세요. VPS 디스크까지 암호화하려면 Linux VPS에서 스토리지 디스크를 어떻게 마운트하고 포맷하나요?를 참고하세요.