Restic: REST server czy SFTP do backupów na storage VPS?

Czy rest-server jest szybszy niż SFTP?

Projekt rest-server twierdzi, że tak: w porównaniu z SFTP backend REST działa lepiej i skaluje się dalej. W swoim README podaje powód: SFTP przesyła dane w porcjach o rozmiarze najwyżej 32 KiB i serwer potwierdza każdy pakiet, podczas gdy REST wysyła całe pliki przez HTTP. Samo HTTP usuwa też narzut TLS, bo restic i tak szyfruje wszystko, co wysyła; README dodaje, że HTTPS służy wtedy głównie do ochrony logowania. To twierdzenie samego projektu, a nie benchmark, który przeprowadziliśmy. Na VPS do przechowywania danych z dyskami twardymi to dyski i Twoje łącze wysyłowe często narzucają tempo, zanim zrobi to protokół.

Po stronie klienta SFTP ma jedną znaną niedogodność: dokumentacja restic zauważa, że serwery SFTP zamykają połączenia, gdy przez jakiś czas nic nie otrzymują, co mogą wywołać długie skany niezmienionych plików.

Kiedy zwykły SFTP jest lepszym wyborem?

Gdy jedna zaufana maszyna robi kopię zapasową na własne konto i nie chcesz dodatkowej usługi, dodatkowego portu ani niczego nowego do łatanie. restic potrzebuje tylko restic -r sftp:user@host:/path init i klucza SSH bez monitu o hasło, bo automatyczna kopia zapasowa nie może się zatrzymać, żeby o nie zapytać. Słabość jest ta, która najbardziej liczy się w walce z ransomware: kto kontroluje klienta, może też uruchomić restic forget --prune i usunąć każdy snapshot, bo SFTP nie ma trybu append-only.

Aby każde konto SFTP nie mogło przeglądać reszty serwera, OpenSSH może zamknąć je we własnym folderze bez shella:

Match User restic-laptop
    ForceCommand internal-sftp
    ChrootDirectory /srv/restic-sftp/%u
    AllowTcpForwarding no
    X11Forwarding no

useradd --no-create-home --home-dir /srv/restic-sftp/restic-laptop --shell /usr/sbin/nologin restic-laptop
install -d -m 755 -o root -g root /srv/restic-sftp/restic-laptop
install -d -m 700 -o restic-laptop -g restic-laptop /srv/restic-sftp/restic-laptop/repo
install -d -m 700 -o restic-laptop -g restic-laptop /srv/restic-sftp/restic-laptop/.ssh
echo 'ssh-ed25519 AAAA...client-key... laptop' > /srv/restic-sftp/restic-laptop/.ssh/authorized_keys
chown restic-laptop:restic-laptop /srv/restic-sftp/restic-laptop/.ssh/authorized_keys
chmod 600 /srv/restic-sftp/restic-laptop/.ssh/authorized_keys

Jak uruchomić rest-server z append-only i prywatnymi repozytoriami?

Na Debianie 13 zainstaluj restic-rest-server, wskaż folder danych poza /home i przekaż --append-only --private-repos oraz TLS w pliku domyślnym usługi. Spakowana usługa działa jako użytkownik restic-rest-server, czyta BACKUP_DIR, LISTEN i ARGS z /etc/default/restic-rest-server, odmawia startu, dopóki BACKUP_DIR nie jest ustawione, i ukrywa /home przed daemonem. Z --private-repos użytkownik laptop może otwierać tylko repozytoria pod /laptop/, więc kilka osób może dzielić jeden VPS do przechowywania danych, nie widząc swoich snapshotów. Samopodpisany certyfikat wystarczy, bo klient przypina go przez --cacert.

apt install restic-rest-server apache2-utils openssl
install -d -m 750 -o restic-rest-server -g restic-rest-server /srv/restic

openssl req -x509 -newkey rsa:3072 -nodes -days 3650 \
    -keyout /etc/restic-rest-server/key.pem -out /etc/restic-rest-server/cert.pem \
    -subj '/CN=coffer-backup' -addext 'subjectAltName=IP:203.0.113.10'
chown root:restic-rest-server /etc/restic-rest-server/key.pem
chmod 640 /etc/restic-rest-server/key.pem

cat > /etc/default/restic-rest-server <<'EOF'
BACKUP_DIR=/srv/restic
LISTEN=:8000
ARGS="--htpasswd-file /etc/restic-rest-server/users.htpasswd --append-only --private-repos --tls --tls-cert /etc/restic-rest-server/cert.pem --tls-key /etc/restic-rest-server/key.pem"
EOF

htpasswd -B /etc/restic-rest-server/users.htpasswd laptop
chown root:restic-rest-server /etc/restic-rest-server/users.htpasswd
chmod 640 /etc/restic-rest-server/users.htpasswd
systemctl enable restic-rest-server
systemctl restart restic-rest-server

mkdir -p ~/.config/restic
scp [email protected]:/etc/restic-rest-server/cert.pem ~/.config/restic/coffer.pem

cat > ~/.config/restic/coffer.env <<'EOF'
RESTIC_REPOSITORY=rest:https://203.0.113.10:8000/laptop/
RESTIC_REST_USERNAME=laptop
RESTIC_REST_PASSWORD=the-htpasswd-password
RESTIC_PASSWORD_FILE=/home/me/.config/restic/repo-password
RESTIC_CACERT=/home/me/.config/restic/coffer.pem
EOF
chmod 600 ~/.config/restic/coffer.env

set -a; . ~/.config/restic/coffer.env; set +a
restic init
restic backup ~/Documents ~/Pictures

Jak przycinać snapshoty, gdy rest-server działa w trybie append-only?

Uruchom forget --prune z zaufanej maszyny administracyjnej przez ścieżkę, która nie jest append-only, i zapisz politykę przez --keep-within. rest-server trzyma repozytorium w tym samym układzie co lokalne repozytorium, więc SFTP jako root dociera do dokładnie tego samego folderu, a hasła do repozytorium nigdy nie trzeba wpisywać na VPS.

Część --keep-within ma znaczenie. Dokumentacja restic opisuje atakującego, który dodaje puste snapshoty do repozytorium append-only, aby polityka taka jak jeden snapshot na tydzień usunęła te prawdziwe; polityka oparta na czasie zachowuje i śmieci, i prawdziwe snapshoty. Pomaga tylko wtedy, gdy zegar systemowy jest prawidłowy, kiedy forget się uruchamia, i nie jest powodem, by pominąć najpierw spojrzenie na restic snapshots.

restic -r sftp:[email protected]:/srv/restic/laptop snapshots
restic -r sftp:[email protected]:/srv/restic/laptop forget --keep-within 90d --prune
restic -r sftp:[email protected]:/srv/restic/laptop check --read-data-subset=5%

Który backend wybrać?

Wybierz rest-server, gdy maszyna z kopią zapasową jest wystawiona do internetu; wybierz SFTP dla jednej, dobrze utrzymanej maszyny, gdzie prostota wygrywa. Cel append-only nie może zostać opróżniony przez atakującego, który szyfruje Twój serwer, i ta jedna właściwość przeważa nad dodatkowym daemonem.

Ile kosztuje 1 TB w restic?

Według badania Coffervale z 2 listopada 2026 Backblaze B2, magazyn obiektowy natywnie obsługiwany przez restic, kosztował $6.95 za TB miesięcznie, a plany storage VPS u dostawców przyjmujących kryptowaluty bez dokumentu tożsamości miały medianę $4.00 za TB. Magazyn obiektowy nie wymaga serwera do utrzymania, ale nie oferuje żadnego z dwóch omawianych tu backendów; storage VPS obsługuje oba. Nie wykonujemy kopii zapasowej Twojego serwera ani nie przechowujemy kopii Twoich danych nigdzie indziej, więc to, co znajduje się na storage VPS Coffervale, powinno być jedną z Twoich kopii, nigdy jedyną: VPS to Twoja kopia off-site, jak wyjaśnia Jak używać VPS do kopii zapasowych off-site?]. Jeśli wolisz Borg, postępuj według Jak skonfigurować serwer kopii zapasowych Borg na VPS?]; aby zaszyfrować dysk pod spodem, zobacz Jak zamontować i sformatować dysk storage na Linux VPS?]. Plany i warunki znajdziesz na Ile kosztuje storage VPS miesięcznie?].