Hoe gebruik ik een storage VPS voor off-site back-ups?

Wat geeft een backup VPS je dat RAID of een snapshot niet geeft?

Een backup VPS houdt een aparte, geversioneerde kopie van je data in een ander gebouw, bereikt met eigen inloggegevens. Dat is precies de eigenschap die de gebruikelijke vervangers missen. Schijfredundantie houdt een server draaiend bij een defecte schijf; het draait een verwijdering, ransomware of een verloren account niet terug, dus het is geen back-up. Een snapshot staat op dezelfde schijven als de server die hij vastlegt, dus hij kan een fout terugdraaien, maar het is geen off-site kopie.

In zoekopdrachten betekent "backup VPS" twee dingen: een VPS ergens anders back-uppen, en een VPS gebruiken als de plek waar back-ups landen. Het is één taak vanaf beide kanten bekeken: een productieserver duwt Borg- of restic-archieven naar een storage VPS, precies zoals een laptop dat doet.

Waarom is één storage VPS geen 3-2-1-back-up?

Omdat 3-2-1 kopieën, media en locaties telt, en één VPS is één kopie op één locatie. De regel, zoals US-CERT die uiteenzet in het paper Data Backup Options, is drie kopieën van elk belangrijk bestand, op twee verschillende soorten media, met één kopie op een externe locatie. Eén opslag-VPS is één kopie op één plek. De 3-2-1-regel vraagt om drie kopieën, op twee soorten media, waarvan één off-site: een opslag-VPS past als die off-site kopie, naast twee die je zelf bewaart.

Een opzet die eraan voldoet voor een homelab of een klein team:

• Kopie 1: de live data op je laptop, server of NAS.
• Kopie 2: een lokale back-up op een USB-schijf of een tweede NAS, snel te herstellen.
• Kopie 3: de storage VPS: versleuteld, append-only, in een stad waar je niet woont en niet werkt.

Een back-up op één locatie is een single point of failure met een geruststellende naam.

Hoe stuur ik back-ups van een server naar een storage VPS via SSH?

Geef elke machine een eigen SSH-sleutel, een eigen account of pad op de VPS en een eigen repository, en laat de back-uptool de rest doen via SSH. Borg vereist dat Borg op de VPS is geïnstalleerd en voert borg serve daar uit; restic kan over gewone SFTP schrijven zonder iets extra's op de server, of via HTTP met rest-server praten. Aparte sleutels betekenen dat één gestolen laptop één repository blootlegt, niet allemaal.

# On the machine you back up: a key used for backups only
ssh-keygen -t ed25519 -N '' -C 'backup web1' -f ~/.ssh/backup_ed25519
cat ~/.ssh/backup_ed25519.pub

# On the storage VPS, as root: one account per machine, holding that key
mkdir -p /srv/backup
useradd --create-home --home-dir /srv/backup/web1 --shell /bin/sh backup-web1
install -d -m 700 -o backup-web1 -g backup-web1 /srv/backup/web1/.ssh
echo 'ssh-ed25519 AAAA...paste-the-key... backup web1' >> /srv/backup/web1/.ssh/authorized_keys
chown backup-web1:backup-web1 /srv/backup/web1/.ssh/authorized_keys

# Back on the client: a short SSH alias, then restic over SFTP
cat >> ~/.ssh/config <<'EOF'
Host coffer
    HostName 203.0.113.10
    User backup-web1
    IdentityFile ~/.ssh/backup_ed25519
    IdentitiesOnly yes
EOF
restic -r sftp:coffer:/srv/backup/web1/repo init
restic -r sftp:coffer:/srv/backup/web1/repo backup /etc /home /var/www

Waarom op de client versleutelen in plaats van op de VPS?

Omdat de VPS dan alleen ooit ciphertext opslaat, en niemand die bij zijn schijf kan, je bestanden kan lezen. Wie een hypervisor beheert, kan technisch een onversleutelde virtuele schijf lezen, bij elke VPS-host. Wij openen je bestanden niet, en data die je versleutelt voordat die je machine verlaat, haalt de vraag van tafel. KVM geeft je server een eigen kernel, dus je kunt LUKS op de dataschijf zetten of ZFS met native encryption draaien, en de sleutels blijven bij jou. Versleutel voor back-ups op je eigen machine vóór het uploaden (Borg, restic en Kopia doen dat allemaal), zodat de server alleen ooit ciphertext bevat.

Borg vraagt bij borg init om een versleutelingsmodus; de documentatie raadt repokey aan met een sterke passphrase en zegt dat je een kopie van de sleutel buiten zowel de repository als de machine die je back-upt moet bewaren. restic versleutelt alle data die het opslaat met AES-256 en authenticeert die met Poly1305-AES, zonder onversleutelde modus. Bewaar de passphrase en de geëxporteerde sleutel in een password manager en op papier. Versleuteling op de server beschermt de server; versleuteling op jouw machine beschermt jou.

Waartegen beschermt append-only-modus?

Append-only verhindert dat een gecompromitteerde client de back-ups die hij maakte wist. Een aanvaller die een server overneemt, heeft ook de back-upreferenties, en in normale modus kunnen die borg delete of restic forget --prune uitvoeren voordat de ransomnote verschijnt.

• Borg: voeg --append-only toe aan het borg serve-commando dat in authorized_keys wordt geforceerd. De documentatie van Borg merkt op dat prune en delete in deze modus nog steeds draaien, maar data alleen als verwijderd markeren: er wordt geen ruimte vrijgemaakt en er vindt geen compaction plaats.
• restic: start rest-server met --append-only, die nieuwe back-ups accepteert en weigert bestaande te verwijderen of te wijzigen. Gewone SFTP heeft zo'n modus niet.

De prijs is huishoudwerk: prunen vereist een tweede, onbeperkte sleutel, gebruikt vanaf een machine die de aanvaller niet kan bereiken. Op append-only restic-repositories zegt de documentatie van restic dat je forget-beleid met --keep-within moet schrijven. Het volledige Borg-recept staat in Hoe stel ik een Borg-back-upserver op een VPS in?, en de restic-keuze in Restic: REST server of SFTP voor back-ups naar een VPS?.

Hoe weet ik of mijn off-site back-up teruggezet kan worden?

Zet ervan terug, volgens een schema, op een machine die niet de originele is. Een taak die eindigt met status 0 bewijst dat de upload werkte, niet dat je bestanden terugkomen. Spreid de controles zodat de langzame zelden draaien:

Hoe lang duurt een volledige restore, en past die binnen het traffic-quotum?

Bij volledige lijnsnelheid verplaatst een 1 Gbit/s-poort 1 TB in ongeveer 2 uur 15 minuten; in de praktijk bepalen je eigen verbinding en de harde schijven een langzamer tempo. Dat cijfer is rekenwerk (8.000 gigabit bij één gigabit per seconde), geen gemeten snelheid, dus time de restore van een echte map voordat je erop rekent.

Het maandelijkse traffic-quotum van elk plan is meer dan twee keer de schijfruimte, 4 TB per maand bij het 1 TB Clay-plan bijvoorbeeld, dus een volle schijf uploaden en diezelfde maand alles terugzetten blijft binnen het quotum. Elke server heeft één IPv4-adres en een IPv6 /64 op een 1 Gbit/s-poort, met een maandelijkse trafficlimiet van 2 TB plus 2 TB per TB opgeslagen: 3 TB voor Silt, 4 TB voor Clay, 6 TB voor Shale, 10 TB voor Granite, 18 TB voor Bedrock. Boven de limiet draait de poort op 100 Mbit/s tot de volgende periode begint; er wordt niets extra gefactureerd.

Wat kost een off-site back-updoel per TB?

Volgens Coffervales onderzoek van 2 november 2026 kosten storage VPS-plannen van hosts die crypto accepteren en geen identiteitsdocument vragen mediaan $4.00 per TB per maand, terwijl general-purpose VPS-plannen van dezelfde hosts $223.44 per TB kosten, ongeveer 56 keer zoveel. Back-ups horen op schijven die op capaciteit zijn afgestemd. Hosted backup-opslag geeft je geen eigen server, zoals de tabel laat zien; de afweging staat in Is een storage VPS een goedkoper alternatief voor rsync.net of BorgBase?. Elk plan en elke termijn staat op Hoeveel kost een storage VPS per maand?, en het 1 TB-plan in detail op Waar kan ik een VPS met 1 TB opslag krijgen?.