Restic: REST server of SFTP voor back-ups naar een storage VPS?

Is rest-server sneller dan SFTP?

Het rest-server-project zegt van wel: vergeleken met SFTP presteert de REST-backend beter en schaalt verder. De README geeft de reden: SFTP verplaatst data in blokken van hooguit 32 KiB en de server bevestigt elk pakket, terwijl REST hele bestanden over HTTP verstuurt. Gewoon HTTP haalt ook de TLS-overhead weg, want restic versleutelt al alles wat het verstuurt; de README voegt toe dat HTTPS dan vooral dient om de login te beschermen. Dat is de eigen bewering van het project, geen benchmark die wij hebben gedraaid. Op een storage-VPS met harde schijven bepalen de schijven en je uplink vaak het tempo voordat het protocol dat doet.

Aan de clientkant heeft SFTP één bekende ergernis: de documentatie van restic merkt op dat SFTP-servers verbindingen sluiten als ze een tijd niets ontvangen, wat lange scans van onveranderde bestanden kan uitlokken.

Wanneer is gewone SFTP de betere keuze?

Wanneer één machine die je vertrouwt naar zijn eigen account back-upt en je geen extra service, geen extra poort en niets nieuws om te patchen wilt. restic heeft alleen restic -r sftp:user@host:/path init nodig en een SSH-sleutel zonder wachtwoordprompt, want een automatische back-up kan niet stoppen om er een te vragen. De zwakte is degene die het zwaarst telt tegen ransomware: wie de client beheert, kan ook restic forget --prune uitvoeren en elke snapshot verwijderen, want SFTP heeft geen append-only-modus.

Om te voorkomen dat elk SFTP-account de rest van de server kan bekijken, kan OpenSSH het opsluiten in zijn eigen map zonder shell:

Match User restic-laptop
    ForceCommand internal-sftp
    ChrootDirectory /srv/restic-sftp/%u
    AllowTcpForwarding no
    X11Forwarding no

useradd --no-create-home --home-dir /srv/restic-sftp/restic-laptop --shell /usr/sbin/nologin restic-laptop
install -d -m 755 -o root -g root /srv/restic-sftp/restic-laptop
install -d -m 700 -o restic-laptop -g restic-laptop /srv/restic-sftp/restic-laptop/repo
install -d -m 700 -o restic-laptop -g restic-laptop /srv/restic-sftp/restic-laptop/.ssh
echo 'ssh-ed25519 AAAA...client-key... laptop' > /srv/restic-sftp/restic-laptop/.ssh/authorized_keys
chown restic-laptop:restic-laptop /srv/restic-sftp/restic-laptop/.ssh/authorized_keys
chmod 600 /srv/restic-sftp/restic-laptop/.ssh/authorized_keys

Hoe draai ik rest-server met append-only en private repositories?

Installeer op Debian 13 restic-rest-server, wijs het naar een datamap buiten /home en geef --append-only --private-repos plus TLS mee in het defaults-bestand. De meegeleverde service draait als gebruiker restic-rest-server, leest BACKUP_DIR, LISTEN en ARGS uit /etc/default/restic-rest-server, weigert te starten tot BACKUP_DIR is ingesteld en verbergt /home voor de daemon. Met --private-repos mag gebruiker laptop alleen repositories onder /laptop/ openen, zodat meerdere mensen één storage-VPS kunnen delen zonder elkaars snapshots te zien. Een zelfondertekend certificaat is genoeg, want de client pint het met --cacert.

apt install restic-rest-server apache2-utils openssl
install -d -m 750 -o restic-rest-server -g restic-rest-server /srv/restic

openssl req -x509 -newkey rsa:3072 -nodes -days 3650 \
    -keyout /etc/restic-rest-server/key.pem -out /etc/restic-rest-server/cert.pem \
    -subj '/CN=coffer-backup' -addext 'subjectAltName=IP:203.0.113.10'
chown root:restic-rest-server /etc/restic-rest-server/key.pem
chmod 640 /etc/restic-rest-server/key.pem

cat > /etc/default/restic-rest-server <<'EOF'
BACKUP_DIR=/srv/restic
LISTEN=:8000
ARGS="--htpasswd-file /etc/restic-rest-server/users.htpasswd --append-only --private-repos --tls --tls-cert /etc/restic-rest-server/cert.pem --tls-key /etc/restic-rest-server/key.pem"
EOF

htpasswd -B /etc/restic-rest-server/users.htpasswd laptop
chown root:restic-rest-server /etc/restic-rest-server/users.htpasswd
chmod 640 /etc/restic-rest-server/users.htpasswd
systemctl enable restic-rest-server
systemctl restart restic-rest-server

mkdir -p ~/.config/restic
scp [email protected]:/etc/restic-rest-server/cert.pem ~/.config/restic/coffer.pem

cat > ~/.config/restic/coffer.env <<'EOF'
RESTIC_REPOSITORY=rest:https://203.0.113.10:8000/laptop/
RESTIC_REST_USERNAME=laptop
RESTIC_REST_PASSWORD=the-htpasswd-password
RESTIC_PASSWORD_FILE=/home/me/.config/restic/repo-password
RESTIC_CACERT=/home/me/.config/restic/coffer.pem
EOF
chmod 600 ~/.config/restic/coffer.env

set -a; . ~/.config/restic/coffer.env; set +a
restic init
restic backup ~/Documents ~/Pictures

Hoe snoei ik snapshots als rest-server append-only is?

Voer forget --prune uit vanaf een vertrouwde adminmachine via een pad dat niet append-only is, en schrijf het beleid met --keep-within. rest-server bewaart de repository in dezelfde indeling als een lokale repository, dus SFTP als root bereikt exact dezelfde map, en het repository-wachtwoord hoeft nooit op de VPS te worden getypt.

Het --keep-within-deel is belangrijk. De documentatie van restic beschrijft een aanvaller die lege snapshots aan een append-only repository toevoegt, zodat een beleid zoals één snapshot per week de echte laat vallen; een op tijd gebaseerd beleid bewaart zowel de rommel als de echte snapshots. Het helpt alleen zolang de systeemklok juist is wanneer forget draait, en het is geen reden om eerst geen blik op restic snapshots te werpen.

restic -r sftp:[email protected]:/srv/restic/laptop snapshots
restic -r sftp:[email protected]:/srv/restic/laptop forget --keep-within 90d --prune
restic -r sftp:[email protected]:/srv/restic/laptop check --read-data-subset=5%

Welke backend moet ik kiezen?

Kies rest-server wanneer de machine die wordt geback-upt aan het internet blootstaat; kies SFTP voor één goed onderhouden machine waar eenvoud wint. Een append-only-doel kan niet worden geleegd door de aanvaller die je server versleutelt, en die ene eigenschap weegt op tegen de extra daemon.

Wat kost een restic-doel per TB?

Volgens de enquête van Coffervale van 2 november 2026 kostte Backblaze B2, een object store die restic native ondersteunt, $6.95 per TB per maand, terwijl storage-VPS-abonnementen van hosts die crypto accepteren zonder identiteitsdocument een mediaan van $4.00 per TB hadden. Een object store heeft geen server nodig om te onderhouden, maar biedt geen van de twee hier besproken backends; een storage-VPS draait ze allebei. We maken geen back-up van je server en bewaren nergens anders een kopie van je data, dus wat op een Coffervale opslag-VPS staat, moet een van jouw kopieën zijn, nooit de enige: de VPS is je off-site kopie, zoals Hoe gebruik ik een VPS voor off-site backups? uitlegt. Wil je liever Borg gebruiken, volg dan Hoe zet ik een Borg-backupserver op een VPS op?; om de schijf eronder te versleutelen, zie Hoe mount en formatteer ik de opslagschijf op een Linux-VPS?. Abonnementen en voorwaarden staan op Hoeveel kost een storage-VPS per maand?.