Como uso um storage VPS para backups fora do site?

O que um VPS de backup oferece que um RAID ou um snapshot não oferece?

Um VPS de backup guarda uma cópia separada e versionada dos seus dados em outro prédio, acessada com suas próprias credenciais. Essa é a característica que os substitutos usuais não têm. A redundância de disco mantém um servidor funcionando quando uma unidade falha; ela não desfaz uma exclusão, um ransomware ou uma conta perdida, então não é backup. Um snapshot fica nos mesmos discos do servidor que ele captura, então ele pode reverter um erro, mas não é uma cópia fora do local.

Nas pesquisas, "VPS de backup" significa duas coisas: fazer backup de um VPS em outro lugar, e usar um VPS como o lugar onde os backups chegam. É o mesmo trabalho visto por qualquer um dos lados: um servidor de produção envia arquivos Borg ou restic para um storage VPS exatamente como um notebook faz.

Por que um único VPS de armazenamento não é um backup 3-2-1?

Porque 3-2-1 conta cópias, mídias e locais, e um único VPS é uma cópia em um único local. A regra, como o documento Data Backup Options do US-CERT a define, é três cópias de cada arquivo importante, em dois tipos de mídia diferentes, com uma cópia armazenada fora do local. Um storage VPS é uma cópia em um lugar. A regra 3-2-1 pede três cópias, em dois tipos de mídia, com uma delas fora do local: um storage VPS serve como essa cópia fora do local, ao lado de duas que você mantém por conta própria.

Uma configuração que a atende para um home lab ou uma equipe pequena:

• Cópia 1: os dados ativos no seu laptop, servidor ou NAS.
• Cópia 2: um backup local em um disco USB ou em um segundo NAS, rápido de restaurar.
• Cópia 3: o VPS de armazenamento: criptografado, append-only, em uma cidade onde você não mora nem trabalha.

Um backup mantido em um único local é um ponto único de falha com um nome tranquilizador.

Como envio backups de um servidor para um VPS de armazenamento via SSH?

Dê a cada máquina sua própria chave SSH, sua própria conta ou caminho no VPS e seu próprio repositório, e deixe o resto com a ferramenta de backup via SSH. O Borg precisa do Borg instalado no VPS e executa borg serve nele; o restic pode gravar via SFTP puro sem nada extra no servidor, ou falar HTTP com o rest-server. Chaves separadas significam que um laptop roubado expõe um repositório, não todos.

# On the machine you back up: a key used for backups only
ssh-keygen -t ed25519 -N '' -C 'backup web1' -f ~/.ssh/backup_ed25519
cat ~/.ssh/backup_ed25519.pub

# On the storage VPS, as root: one account per machine, holding that key
mkdir -p /srv/backup
useradd --create-home --home-dir /srv/backup/web1 --shell /bin/sh backup-web1
install -d -m 700 -o backup-web1 -g backup-web1 /srv/backup/web1/.ssh
echo 'ssh-ed25519 AAAA...paste-the-key... backup web1' >> /srv/backup/web1/.ssh/authorized_keys
chown backup-web1:backup-web1 /srv/backup/web1/.ssh/authorized_keys

# Back on the client: a short SSH alias, then restic over SFTP
cat >> ~/.ssh/config <<'EOF'
Host coffer
    HostName 203.0.113.10
    User backup-web1
    IdentityFile ~/.ssh/backup_ed25519
    IdentitiesOnly yes
EOF
restic -r sftp:coffer:/srv/backup/web1/repo init
restic -r sftp:coffer:/srv/backup/web1/repo backup /etc /home /var/www

Por que criptografar no cliente em vez de no VPS?

Porque assim o VPS só armazena texto cifrado, e ninguém que acesse o disco dele consegue ler seus arquivos. Quem administra um hypervisor pode, tecnicamente, ler um disco virtual sem criptografia, em qualquer provedor de VPS. Não abrimos seus arquivos, e os dados que você criptografa antes de saírem da sua máquina eliminam a questão. O KVM dá ao seu servidor o próprio kernel, então você pode colocar LUKS no disco de dados ou rodar ZFS com criptografia nativa, e as chaves nunca saem de você. Para backups, criptografe na sua própria máquina antes do upload (Borg, restic e Kopia fazem isso), assim o servidor só guarda texto cifrado.

O Borg pede um modo de criptografia em borg init; sua documentação recomenda repokey com uma passphrase forte e diz para manter uma cópia da chave fora do repositório e da máquina que está sendo copiada. O restic criptografa todos os dados que armazena com AES-256 e os autentica com Poly1305-AES, sem modo não criptografado. Mantenha a passphrase e a chave exportada em um gerenciador de senhas e no papel. Criptografia feita no servidor protege o servidor; criptografia feita na sua máquina protege você.

Contra o que o modo append-only protege?

O append-only impede que um cliente comprometido apague os backups que criou. Um atacante que controla um servidor também controla as credenciais de backup dele e, no modo normal, elas podem executar borg delete ou restic forget --prune antes de a nota de resgate aparecer.

• Borg: adicione --append-only ao comando borg serve forçado em authorized_keys. A documentação do Borg observa que prune e delete ainda rodam nesse modo, mas apenas marcam os dados como excluídos: nenhum espaço é liberado e nenhuma compactação acontece.
• restic: inicie o rest-server com --append-only, que aceita novos backups e se recusa a excluir ou modificar os existentes. O SFTP puro não tem esse modo.

O preço é a manutenção: o prune precisa de uma segunda chave sem restrições, usada de uma máquina que o atacante não consegue acessar. Em repositórios restic append-only, a documentação do restic orienta a criar políticas forget com --keep-within. A receita completa do Borg está em Como configuro um servidor de backup Borg em um VPS?, e a escolha do restic em Restic: REST server ou SFTP para backups em um VPS?.

Como sei que meu backup fora do site vai restaurar?

Restaure a partir dele, em uma programação, em uma máquina que não seja a original. Um job que termina com status 0 prova que o upload funcionou, não que seus arquivos voltam. Distribua as verificações para que as lentas rodem raramente:

Quanto tempo leva uma restauração completa, e ela cabe na cota de tráfego?

Em velocidade máxima de linha, uma porta de 1 Gbit/s move 1 TB em cerca de 2 horas e 15 minutos; na prática, sua própria conexão e os discos rígidos impõem um ritmo mais lento. Esse número é aritmética (8.000 gigabits a um gigabit por segundo), não uma velocidade medida, então cronometre a restauração de uma pasta real antes de contar com ele.

A cota mensal de tráfego de cada plano é mais que o dobro do seu disco, 4 TB por mês no plano Clay de 1 TB, por exemplo, então enviar um disco cheio e restaurar tudo no mesmo mês permanece dentro da cota. Cada servidor tem um endereço IPv4 e um IPv6 /64 em uma porta de 1 Gbit/s, com uma cota mensal de tráfego de 2 TB mais 2 TB por TB armazenado: 3 TB para o Silt, 4 TB para o Clay, 6 TB para o Shale, 10 TB para o Granite, 18 TB para o Bedrock. Passada a cota, a porta opera a 100 Mbit/s até o início do próximo período; nada extra é cobrado.

Quanto custa por TB um destino de backup fora do site?

De acordo com a pesquisa da Coffervale de 2 de novembro de 2026, planos de VPS de armazenamento de hosts que aceitam cripto e não pedem documento de identidade custam uma mediana de $4.00 por TB por mês, enquanto planos de VPS de uso geral dos mesmos hosts custam $223.44 por TB, cerca de 56 vezes mais. Backups pertencem a discos dimensionados para capacidade. Armazenamento de backup hospedado não lhe dá um servidor próprio, como mostra a tabela; o trade-off é avaliado em Um VPS de armazenamento é uma alternativa mais barata ao rsync.net ou BorgBase?. Todo plano e prazo está em Quanto custa por mês um VPS de armazenamento?, e o plano de 1 TB em detalhes em Onde posso obter um VPS com 1 TB de armazenamento?.