Hoe draai ik Syncthing op een storage VPS als always-on node?

Waarom Syncthing op een VPS draaien?

Omdat Syncthing alleen synchroniseert tussen apparaten die op hetzelfde moment online zijn, en een VPS is altijd online. Zonder VPS wisselt een laptop die dichtgeklapt is terwijl je telefoon buiten is, nooit wijzigingen met hem uit. Met een VPS ertussen synchroniseert elk apparaat met de VPS zodra het online komt, en de VPS geeft de wijzigingen door. Dankzij het publieke adres kunnen je apparaten er ook rechtstreeks mee verbinden in plaats van op een relay te wachten.

Sync is geen backup. Een bestand dat je verwijdert of een map die ransomware op één apparaat versleutelt, is binnen enkele seconden verwijderd of versleuteld op de andere, de VPS inbegrepen. Sync kopieert je fouten net zo trouw als je bestanden, dus houd elders een versiebeheerde kopie aan, zoals Hoe gebruik ik een VPS voor off-site backups? beschrijft.

Moet Syncthing als systemd-systeemservice of als gebruikersservice draaien?

Op een server raadt de documentatie van Syncthing de systeemservice syncthing@USER aan, die bij het opstarten start zonder dat iemand ingelogd is; een gebruikersservice werkt ook zodra lingering is ingeschakeld. De gebruikersservice syncthing.service start normaal pas nadat zijn gebruiker inlogt, wat op een headless VPS nooit gebeurt. loginctl enable-linger verandert dat: de systemd-instance van de gebruiker start bij het opstarten en neemt de service mee. Het Debian 13-pakket installeert beide unit-bestanden, dus geen van beide hoeft gekopieerd te worden.

Draai Syncthing onder een eigen account zonder privileges, met zijn home op de storageschijf zodat de gesynchroniseerde mappen daar terechtkomen. De stappen om die schijf voor te bereiden staan in Hoe mount en formatteer ik de storageschijf op een Linux VPS?.

apt install syncthing
useradd --create-home --home-dir /srv/data/sync --shell /usr/sbin/nologin syncer

# Option A: system service, the one Syncthing documents for servers
systemctl enable --now [email protected]

# Option B: user service, started at boot by lingering
loginctl enable-linger syncer
systemctl --user -M syncer@ enable --now syncthing.service

Hoe open ik de Syncthing-GUI op een VPS zonder hem bloot te stellen?

Laat de GUI op zijn standaardadres, 127.0.0.1:8384, en stuur een lokale poort eroverheen via SSH door. De FAQ van Syncthing geeft precies deze methode om de GUI vanaf een andere computer te bereiken. De tunnel gebruikt je bestaande SSH-login, dus de GUI luistert nooit op een publiek adres. Als je hem toch ooit aan 0.0.0.0 bindt, zegt dezelfde FAQ dat je een wachtwoord moet instellen en HTTPS moet aanzetten. Stel hoe dan ook een GUI-gebruiker en wachtwoord in: elk account op de VPS kan 127.0.0.1 bereiken.

ssh -N -L 9090:127.0.0.1:8384 [email protected]

Hoe maak ik van de VPS een untrusted (versleuteld) apparaat?

Deel elke map met de VPS vanaf een vertrouwd apparaat met een versleutelingswachtwoord, en accepteer hem op de VPS als een "Receive Encrypted"-map. Het wachtwoord wordt per apparaat ingesteld, in de deelinstellingen van de map, en alleen voor het untrusted apparaat; je eigen laptops en telefoons delen onderling zonder. De data wordt versleuteld met sleutels die via scrypt uit dat wachtwoord en de map-ID worden afgeleid, met XChaCha20-Poly1305 en AES-SIV. Vink in de apparaatinstellingen van de VPS op je vertrouwde machines onder Geavanceerd ook "Untrusted" aan: Syncthing blokkeert dan de verbinding als een met hem gedeelde map geen wachtwoord heeft.

Twee beperkingen komen uit de documentatie. De functie "should still be considered beta / testing only", dus houd een andere kopie van alles wat belangrijk is. En omdat versleutelde blokken niet tussen bestanden hergebruikt kunnen worden, kan het hernoemen van een groot bestand ertoe leiden dat de VPS het oude verwijdert en de data opnieuw downloadt; bewerkingen binnen een bestand verplaatsen nog steeds alleen de gewijzigde blokken. Een untrusted node is een kluis die zijn eigen inhoud niet kan lezen.

Welke poorten en ontdekkingsinstellingen heeft een always-on node nodig?

Open poort 22000 voor TCP en UDP; de GUI-poort 8384 blijft dicht. Syncthing gebruikt 22000/TCP voor zijn TCP-syncprotocol en 22000/UDP voor QUIC. Poort 21027/UDP draagt lokale ontdekking, die alleen apparaten op hetzelfde LAN vindt, dus een VPS heeft er niets aan.

Met 22000 bereikbaar op een publiek adres verbinden je apparaten rechtstreeks met de VPS. Je kunt dan het VPS-adres, tcp://203.0.113.10:22000, in de instellingen van elk apparaat typen in plaats van te vertrouwen op globale ontdekking. Relays worden een fallback in plaats van een noodzaak, en Syncthing's FAQ merkt op dat relays de data die erdoorheen gaat sowieso niet kunnen zien.

ufw allow 22000/tcp
ufw allow 22000/udp

Wat kost een always-on Syncthing-node?

Volgens Coffervale's onderzoek van 2 november 2026 kosten storage VPS-plannen van hosts die crypto accepteren zonder identiteitsdocument een mediaan van $4.00 per TB per maand, vanaf $2.22 bij de goedkoopste. Stem het plan af op de mappen die je synchroniseert plus ruimte om te groeien: Om te groeien bestel je een groter plan en kopieer je je data over met rsync of zfs send; een draaiende server in plaats resizen wordt bij de lancering niet aangeboden. Sync-verkeer telt mee voor het maandelijkse quotum, 4 TB per maand op het 1 TB Clay-plan; Elke server heeft één IPv4-adres en een IPv6 /64 op een 1 Gbit/s-poort, met een maandelijkse trafficlimiet van 2 TB plus 2 TB per TB opgeslagen: 3 TB voor Silt, 4 TB voor Clay, 6 TB voor Shale, 10 TB voor Granite, 18 TB voor Bedrock. Boven de limiet draait de poort op 100 Mbit/s tot de volgende periode begint; er wordt niets extra gefactureerd. Het 1 TB-plan wordt beschreven in Waar kan ik een VPS met 1 TB opslag krijgen?. Wil je ook een webinterface, agenda's of deellinks, vergelijk dan de twee serveropties in Nextcloud of Seafile op een kleine storage VPS?.