Restic: depolama VPS'ine yedekleme için REST server mı yoksa SFTP mi?

rest-server SFTP'den daha mı hızlı?

rest-server projesi evet diyor: SFTP ile karşılaştırıldığında REST backend daha iyi performans gösterir ve daha ileri ölçeklenir. README dosyası nedenini açıklıyor: SFTP veriyi en fazla 32 KiB'lik parçalar halinde taşır ve sunucu her paketi onaylar, REST ise dosyaların tamamını HTTP üzerinden gönderir. Düz HTTP, TLS yükünü de ortadan kaldırır, çünkü restic gönderdiği her şeyi zaten şifreler; README ayrıca HTTPS'in bu durumda çoğunlukla girişi korumaya yaradığını ekliyor. Bu, projenin kendi iddiasıdır, bizim çalıştırdığımız bir benchmark değil. Sabit diskli bir depolama VPS'inde, protokolden önce çoğu zaman diskler ve uplink hızı belirleyici olur.

İstemci tarafında SFTP'nin bilinen bir sıkıntısı var: restic'in dokümantasyonu, SFTP sunucularının bir süre hiçbir şey almadıklarında bağlantıları kapattığını, bunun da değişmemiş dosyaların uzun taramalarında tetiklenebileceğini belirtiyor.

Düz SFTP ne zaman daha iyi bir seçim?

Güvendiğiniz tek bir makine kendi hesabına yedek alıyorsa ve ekstra servis, ekstra port ve yamalanacak yeni bir şey istemiyorsanız. restic yalnızca restic -r sftp:user@host:/path init ve parola istemi olmadan çalışan bir SSH anahtarı gerektirir, çünkü otomatik bir yedekleme parola sormak için duramaz. Zayıflık, fidye yazılımına karşı en çok önem taşıyan noktadır: istemciyi kontrol eden kişi restic forget --prune komutunu da çalıştırıp tüm anlık görüntüleri silebilir, çünkü SFTP'de append-only modu yoktur.

Her SFTP hesabının sunucunun geri kalanını gezmesini önlemek için OpenSSH, hesabı kabuk olmadan kendi klasörüne kilitleyebilir:

Match User restic-laptop
    ForceCommand internal-sftp
    ChrootDirectory /srv/restic-sftp/%u
    AllowTcpForwarding no
    X11Forwarding no

useradd --no-create-home --home-dir /srv/restic-sftp/restic-laptop --shell /usr/sbin/nologin restic-laptop
install -d -m 755 -o root -g root /srv/restic-sftp/restic-laptop
install -d -m 700 -o restic-laptop -g restic-laptop /srv/restic-sftp/restic-laptop/repo
install -d -m 700 -o restic-laptop -g restic-laptop /srv/restic-sftp/restic-laptop/.ssh
echo 'ssh-ed25519 AAAA...client-key... laptop' > /srv/restic-sftp/restic-laptop/.ssh/authorized_keys
chown restic-laptop:restic-laptop /srv/restic-sftp/restic-laptop/.ssh/authorized_keys
chmod 600 /srv/restic-sftp/restic-laptop/.ssh/authorized_keys

rest-server'ı append-only ve özel depolarla nasıl çalıştırırım?

Debian 13'te restic-rest-server paketini kurun, /home dışındaki bir veri klasörünü gösterin ve defaults dosyasında --append-only --private-repos ile TLS'i geçirin. Paketlenmiş servis restic-rest-server kullanıcısı olarak çalışır, /etc/default/restic-rest-server dosyasından BACKUP_DIR, LISTEN ve ARGS değerlerini okur, BACKUP_DIR ayarlanana kadar başlamayı reddeder ve /home değerini daemon'dan gizler. --private-repos ile laptop kullanıcısı yalnızca /laptop/ altındaki depoları açabilir, böylece birkaç kişi birbirinin anlık görüntülerini görmeden tek bir depolama VPS'ini paylaşabilir. Kendinden imzalı bir sertifika yeterlidir, çünkü istemci onu --cacert ile sabitler.

apt install restic-rest-server apache2-utils openssl
install -d -m 750 -o restic-rest-server -g restic-rest-server /srv/restic

openssl req -x509 -newkey rsa:3072 -nodes -days 3650 \
    -keyout /etc/restic-rest-server/key.pem -out /etc/restic-rest-server/cert.pem \
    -subj '/CN=coffer-backup' -addext 'subjectAltName=IP:203.0.113.10'
chown root:restic-rest-server /etc/restic-rest-server/key.pem
chmod 640 /etc/restic-rest-server/key.pem

cat > /etc/default/restic-rest-server <<'EOF'
BACKUP_DIR=/srv/restic
LISTEN=:8000
ARGS="--htpasswd-file /etc/restic-rest-server/users.htpasswd --append-only --private-repos --tls --tls-cert /etc/restic-rest-server/cert.pem --tls-key /etc/restic-rest-server/key.pem"
EOF

htpasswd -B /etc/restic-rest-server/users.htpasswd laptop
chown root:restic-rest-server /etc/restic-rest-server/users.htpasswd
chmod 640 /etc/restic-rest-server/users.htpasswd
systemctl enable restic-rest-server
systemctl restart restic-rest-server

mkdir -p ~/.config/restic
scp [email protected]:/etc/restic-rest-server/cert.pem ~/.config/restic/coffer.pem

cat > ~/.config/restic/coffer.env <<'EOF'
RESTIC_REPOSITORY=rest:https://203.0.113.10:8000/laptop/
RESTIC_REST_USERNAME=laptop
RESTIC_REST_PASSWORD=the-htpasswd-password
RESTIC_PASSWORD_FILE=/home/me/.config/restic/repo-password
RESTIC_CACERT=/home/me/.config/restic/coffer.pem
EOF
chmod 600 ~/.config/restic/coffer.env

set -a; . ~/.config/restic/coffer.env; set +a
restic init
restic backup ~/Documents ~/Pictures

rest-server append-only iken anlık görüntüleri nasıl temizlerim (prune)?

forget --prune komutunu güvenilir bir yönetici makinesinden append-only olmayan bir yol üzerinden çalıştırın ve politikayı --keep-within ile yazın. rest-server, depoyu yerel bir depoyla aynı düzende tutar, dolayısıyla root olarak SFTP tam da o klasöre erişir ve depo parolasının VPS'te hiç yazılması gerekmez.

--keep-within kısmı önemlidir. restic'in dokümantasyonu, append-only bir depoya boş anlık görüntüler ekleyen bir saldırganı tanımlar; öyle ki haftada bir anlık görüntü gibi bir politika gerçek olanları düşürür; zamana dayalı bir politika hem çöpü hem de gerçek anlık görüntüleri korur. Yalnızca forget çalıştığında sistem saati doğruysa işe yarar ve önce restic snapshots kontrolüne bakmayı atlamak için bir neden değildir.

restic -r sftp:[email protected]:/srv/restic/laptop snapshots
restic -r sftp:[email protected]:/srv/restic/laptop forget --keep-within 90d --prune
restic -r sftp:[email protected]:/srv/restic/laptop check --read-data-subset=5%

Hangi backend'i seçmeliyim?

Yedeklenen makine internete açıksa rest-server'ı seçin; basitliğin kazandığı tek ve iyi bakılan bir makine için SFTP'yi seçin. Append-only bir hedef, sunucunuzu şifreleyen saldırgan tarafından boşaltılamaz ve bu tek özellik ekstra daemon'ın önüne geçer.

Bir restic hedefi TB başına ne kadar tutar?

Coffervale'in 2 Kasım 2026 tarihli araştırmasına göre restic'in yerel olarak desteklediği bir nesne deposu olan Backblaze B2 ayda TB başına $6.95 tutarken, kimlik belgesi istemeden kripto kabul eden sağlayıcıların depolama VPS planları TB başına ortanca $4.00 tutarındaydı. Bir nesne deposu bakım için sunucu gerektirmez ancak burada ele alınan iki arka uçtan hiçbirini sunmaz; bir depolama VPS ikisini de çalıştırır. Sunucunuzun yedeğini almayız ve verilerinizin bir kopyasını başka hiçbir yerde tutmayız; bu nedenle bir Coffervale depolama VPS'inde duran şey kopyalarınızdan biri olmalı, asla tek kopya olmamalı: VPS, sahada olmayan yedek kopyanızdır; How do I use a VPS for off-site backups? bunu açıklar. Borg kullanmayı tercih ederseniz How do I set up a Borg backup server on a VPS? adımlarını izleyin; alttaki diski şifrelemek için How do I mount and format the storage disk on a Linux VPS? sayfasına bakın. Planlar ve koşullar How much does a storage VPS cost per month? sayfasında.