Jak używać Storage VPS do kopii zapasowych poza siedzibą?

Co daje Ci backup VPS, czego nie dają RAID ani snapshot?

Backup VPS przechowuje osobną, wersjonowaną kopię Twoich danych w innym budynku, dostępną z własnymi danymi logowania. To jedyna właściwość, której brakuje zwykłym zamiennikom. Redundancja dysków utrzymuje serwer w działaniu po awarii dysku; nie cofa usunięcia, ransomware ani utraty konta, więc nie jest kopią zapasową. Migawka znajduje się na tych samych dyskach co serwer, który zapisuje, więc może cofnąć pomyłkę, ale nie jest kopią poza lokalizacją.

W wyszukiwaniach "backup VPS" oznacza dwie rzeczy: tworzenie kopii zapasowej VPS gdzie indziej oraz używanie VPS jako miejsca, w którym lądują kopie zapasowe. To jedno zadanie widziane z obu stron: serwer produkcyjny wysyła archiwa Borg lub restic do Storage VPS dokładnie tak samo jak laptop.

Dlaczego jeden VPS ze storage to nie backup 3-2-1?

Bo 3-2-1 liczy kopie, nośniki i lokalizacje, a jeden VPS to jedna kopia w jednym miejscu. Zasada, jak ujmuje ją publikacja US-CERT Data Backup Options, to trzy kopie każdego ważnego pliku, na dwóch różnych typach nośników, z jedną kopią poza siedzibą. Jeden storage VPS to jedna kopia w jednym miejscu. Zasada 3-2-1 wymaga trzech kopii, na dwóch rodzajach nośników, z czego jedna poza lokalizacją: storage VPS pasuje jako ta kopia poza lokalizacją, obok dwóch, które trzymasz sam.

Układ, który ją spełnia dla domowego labu lub małego zespołu:

• Kopia 1: dane produkcyjne na laptopie, serwerze lub NAS.
• Kopia 2: lokalny backup na dysku USB lub drugim NAS, szybki do przywrócenia.
• Kopia 3: VPS ze storage: zaszyfrowany, append-only, w mieście, w którym ani nie mieszkasz, ani nie pracujesz.

Backup trzymany w jednym miejscu to pojedynczy punkt awarii z uspokajającą nazwą.

Jak wysyłać backupy z serwera na VPS ze storage przez SSH?

Daj każdej maszynie własny klucz SSH, własne konto lub ścieżkę na VPS i własne repozytorium, a resztę zostaw narzędziu do backupu przez SSH. Borg wymaga zainstalowanego Borga na VPS i uruchamia tam borg serve; restic może pisać przez zwykły SFTP bez niczego dodatkowego na serwerze albo rozmawiać po HTTP z rest-server. Osobne klucze oznaczają, że jeden skradziony laptop ujawnia jedno repozytorium, a nie wszystkie.

# On the machine you back up: a key used for backups only
ssh-keygen -t ed25519 -N '' -C 'backup web1' -f ~/.ssh/backup_ed25519
cat ~/.ssh/backup_ed25519.pub

# On the storage VPS, as root: one account per machine, holding that key
mkdir -p /srv/backup
useradd --create-home --home-dir /srv/backup/web1 --shell /bin/sh backup-web1
install -d -m 700 -o backup-web1 -g backup-web1 /srv/backup/web1/.ssh
echo 'ssh-ed25519 AAAA...paste-the-key... backup web1' >> /srv/backup/web1/.ssh/authorized_keys
chown backup-web1:backup-web1 /srv/backup/web1/.ssh/authorized_keys

# Back on the client: a short SSH alias, then restic over SFTP
cat >> ~/.ssh/config <<'EOF'
Host coffer
    HostName 203.0.113.10
    User backup-web1
    IdentityFile ~/.ssh/backup_ed25519
    IdentitiesOnly yes
EOF
restic -r sftp:coffer:/srv/backup/web1/repo init
restic -r sftp:coffer:/srv/backup/web1/repo backup /etc /home /var/www

Dlaczego szyfrować po stronie klienta, a nie na VPS?

Bo wtedy VPS przechowuje wyłącznie szyfrogram i nikt, kto dotrze do jego dysku, nie odczyta Twoich plików. Ktoś, kto obsługuje hypervisor, technicznie może odczytać niezaszyfrowany dysk wirtualny — u każdego dostawcy VPS. Nie otwieramy Twoich plików, a dane zaszyfrowane przed opuszczeniem Twojego komputera całkowicie usuwają ten problem. KVM daje Twojemu serwerowi własne jądro, więc możesz założyć LUKS na dysku danych lub uruchomić ZFS z natywnym szyfrowaniem, a klucze nigdy Cię nie opuszczają. W przypadku kopii zapasowych szyfruj na własnym komputerze przed wysłaniem (Borg, restic i Kopia to potrafią), dzięki czemu serwer przechowuje wyłącznie zaszyfrowane dane.

Borg pyta o tryb szyfrowania przy borg init; jego dokumentacja zaleca repokey z silnym hasłem i mówi, by trzymać kopię klucza poza zarówno repozytorium, jak i maszyną, którą backupujesz. restic szyfruje wszystkie przechowywane dane algorytmem AES-256 i uwierzytelnia je Poly1305-AES, bez trybu nieszyfrowanego. Hasło i wyeksportowany klucz trzymaj w menedżerze haseł i na papierze. Szyfrowanie po stronie serwera chroni serwer; szyfrowanie po Twojej stronie chroni Ciebie.

Przed czym chroni tryb append-only?

Append-only nie pozwala przejętemu klientowi wymazać backupów, które sam zrobił. Atakujący, który kontroluje serwer, ma też jego dane uwierzytelniające do backupu, a w trybie normalnym mogą one uruchomić borg delete lub restic forget --prune, zanim pojawi się notatka z żądaniem okupu.

• Borg: dodaj --append-only do polecenia borg serve wymuszanego w authorized_keys. Dokumentacja Borga zauważa, że prune i delete nadal działają w tym trybie, ale jedynie oznaczają dane jako usunięte: miejsce nie zostaje zwolnione i nie ma kompakcji.
• restic: uruchom rest-server z --append-only, który przyjmuje nowe backupy, a odmawia usuwania i modyfikowania istniejących. Zwykły SFTP nie ma takiego trybu.

Ceną jest utrzymanie: prune wymaga drugiego, nieograniczonego klucza, używanego z maszyny, do której atakujący nie dotrze. W repozytoriach restic append-only dokumentacja restic każe pisać polityki forget z --keep-within. Pełna recepta dla Borga jest w Jak skonfigurować serwer backupu Borg na VPS?, a wybór restic w Restic: REST server czy SFTP do backupów na VPS?.

Skąd mam wiedzieć, że moja kopia zapasowa poza siedzibą zostanie przywrócona?

Przywróć ją z niej, według harmonogramu, na maszynę inną niż oryginalna. Zadanie zakończone statusem 0 dowodzi, że wysyłka się udała, a nie że Twoje pliki wrócą. Rozłóż testy tak, aby wolne wykonywały się rzadko:

Ile trwa pełne przywrócenie i czy mieści się w limicie transferu?

Przy pełnym wypełnieniu łącza port 1 Gbit/s przenosi 1 TB w około 2 godziny 15 minut; w praktyce Twoje własne łącze i dyski twarde narzucają wolniejsze tempo. Ta liczba to arytmetyka (8 000 gigabitów przy jednym gigabicie na sekundę), a nie zmierzona prędkość, więc zmierz czas przywracania prawdziwego folderu, zanim na nim polegniesz.

Miesięczny limit transferu każdego planu jest ponad dwukrotnie większy niż jego dysk, na przykład 4 TB miesięcznie w planie Clay 1 TB, więc wysłanie pełnego dysku i przywrócenie go w całości w tym samym miesiącu mieści się w limicie. Każdy serwer ma jeden adres IPv4 oraz IPv6 /64 na porcie 1 Gbit/s, z miesięcznym limitem ruchu 2 TB plus 2 TB za każdy przechowywany TB: 3 TB dla Silt, 4 TB dla Clay, 6 TB dla Shale, 10 TB dla Granite, 18 TB dla Bedrock. Po przekroczeniu limitu port działa z prędkością 100 Mbit/s do początku następnego okresu; nic dodatkowo nie jest naliczane.

Ile kosztuje miesięcznie TB celu kopii zapasowej poza siedzibą?

Według ankiety Coffervale z 2 listopada 2026 plany storage VPS od hostingodawców, którzy przyjmują kryptowaluty i nie proszą o dokument tożsamości, kosztują medianę $4.00 za TB miesięcznie, podczas gdy plany VPS ogólnego przeznaczenia od tych samych hostingodawców kosztują $223.44 za TB, około 56 razy więcej. Kopie zapasowe należą na dyski dobrane pod pojemność. Hostowany storage do kopii zapasowych nie daje Ci własnego serwera, jak pokazuje tabela; kompromis jest rozważony w Czy storage VPS to tańsza alternatywa dla rsync.net lub BorgBase?. Wszystkie plany i warunki są na Ile kosztuje storage VPS miesięcznie?, a plan 1 TB szczegółowo na Gdzie mogę dostać VPS z 1 TB przestrzeni?.