Як використовувати storage VPS для позасайтових бекапів?

Що дає backup VPS, чого не дають RAID чи снапшот?

Backup VPS зберігає окрему, версійовану копію ваших даних в іншій будівлі, доступ до якої відкривається власними обліковими даними. Це та єдина властивість, якої бракує звичним замінникам. Надмірність дисків підтримує роботу сервера при виході з ладу диска; вона не скасовує видалення, ransomware чи втрачений акаунт, тож це не бекап. Знімок лежить на тих самих дисках, що й сервер, який він фіксує, тож він може відкотити помилку, але це не позамайданчикова копія.

У пошуку «backup VPS» означає дві речі: бекап VPS в інше місце та використання VPS як місця, куди лягають бекапи. Це одна робота, видима з обох кінців: продакшн-сервер надсилає архіви Borg або restic на storage VPS так само, як ноутбук.

Чому один storage VPS — це не backup за правилом 3-2-1?

Бо 3-2-1 рахує копії, носії та місця, а один VPS — це одна копія в одному місці. Правило, як його викладає документ US-CERT Data Backup Options, — це три копії кожного важливого файлу, на двох різних типах носіїв, причому одна копія зберігається поза майданчиком. Один storage VPS — це одна копія в одному місці. Правило 3-2-1 вимагає трьох копій на двох типах носіїв, одна з яких поза майданчиком: storage VPS підходить як та позамайданчикова копія, поряд із двома, які ви зберігаєте самі.

Схема, яка його задовольняє для домашньої лабораторії або невеликої команди:

• Копія 1: робочі дані на вашому ноутбуці, сервері чи NAS.
• Копія 2: локальний backup на USB-диску або другому NAS, з якого швидко відновлювати.
• Копія 3: storage VPS: зашифрований, append-only, у місті, де ви не живете і не працюєте.

Backup, що зберігається в одному місці, — це єдина точка відмови із заспокійливою назвою.

Як надсилати backup із сервера на storage VPS через SSH?

Дайте кожній машині власний SSH-ключ, власний обліковий запис або шлях на VPS і власний репозиторій, а решту нехай зробить інструмент для backup через SSH. Borg потребує встановленого Borg на VPS і виконує там borg serve; restic може писати через звичайний SFTP без нічого додаткового на сервері або звертатися по HTTP до rest-server. Окремі ключі означають, що один викрадений ноутбук відкриває один репозиторій, а не всі.

# On the machine you back up: a key used for backups only
ssh-keygen -t ed25519 -N '' -C 'backup web1' -f ~/.ssh/backup_ed25519
cat ~/.ssh/backup_ed25519.pub

# On the storage VPS, as root: one account per machine, holding that key
mkdir -p /srv/backup
useradd --create-home --home-dir /srv/backup/web1 --shell /bin/sh backup-web1
install -d -m 700 -o backup-web1 -g backup-web1 /srv/backup/web1/.ssh
echo 'ssh-ed25519 AAAA...paste-the-key... backup web1' >> /srv/backup/web1/.ssh/authorized_keys
chown backup-web1:backup-web1 /srv/backup/web1/.ssh/authorized_keys

# Back on the client: a short SSH alias, then restic over SFTP
cat >> ~/.ssh/config <<'EOF'
Host coffer
    HostName 203.0.113.10
    User backup-web1
    IdentityFile ~/.ssh/backup_ed25519
    IdentitiesOnly yes
EOF
restic -r sftp:coffer:/srv/backup/web1/repo init
restic -r sftp:coffer:/srv/backup/web1/repo backup /etc /home /var/www

Чому шифрувати на клієнті, а не на VPS?

Бо тоді VPS зберігає лише шифротекст, і ніхто, хто дістанеться до його диска, не зможе прочитати ваші файли. Той, хто керує гіпервізором, технічно може прочитати незашифрований віртуальний диск — у будь-якого VPS-хостингу. Ми не відкриваємо ваші файли, а дані, зашифровані до того, як вони залишать вашу машину, знімають це питання. KVM дає вашому серверу власне ядро, тож ви можете поставити LUKS на диск даних або запустити ZFS з нативним шифруванням, і ключі ніколи не залишають вас. Для бекапів шифруйте на власній машині перед завантаженням (Borg, restic і Kopia усі це вміють), тож сервер зберігає лише шифротекст.

Borg запитує режим шифрування на borg init; його документація радить repokey із надійною парольною фразою та каже зберігати копію ключа поза і репозиторієм, і машиною, яку бекапите. restic шифрує всі дані, які зберігає, за допомогою AES-256 і автентифікує їх через Poly1305-AES, без незашифрованого режиму. Тримайте парольну фразу та експортований ключ у менеджері паролів і на папері. Шифрування на сервері захищає сервер; шифрування на вашій машині захищає вас.

Від чого захищає режим append-only?

Append-only не дає скомпрометованому клієнту стерти backups, які він зробив. Атакувальник, який володіє сервером, володіє і його обліковими даними для backup, а в звичайному режимі вони можуть виконати borg delete або restic forget --prune ще до появи записки про викуп.

• Borg: додайте --append-only до команди borg serve, примусово заданої в authorized_keys. Документація Borg зазначає, що prune і delete у цьому режимі все одно виконуються, але лише позначають дані як видалені: місце не звільняється і компакція не відбувається.
• restic: запустіть rest-server з --append-only, який приймає нові backups і відмовляється видаляти чи змінювати наявні. У звичайному SFTP такого режиму немає.

Ціна — це обслуговування: для prune потрібен другий, необмежений ключ, який використовують із машини, недосяжної для атакувальника. У append-only репозиторіях restic його документація радить писати політики forget з --keep-within. Повний рецепт для Borg — у Як налаштувати сервер backup на Borg на VPS?, а вибір restic — у Restic: REST server чи SFTP для backup на VPS?.

Як дізнатися, що моя резервна копія на віддаленому сервері відновиться?

Відновіть з неї, за розкладом, на машину, яка не є оригіналом. Завдання, що завершується зі статусом 0, доводить, що завантаження спрацювало, а не що ваші файли повертаються. Рознесіть перевірки в часі, щоб повільні виконувалися рідко:

Скільки часу займає повне відновлення і чи вкладається воно в ліміт трафіку?

На повній швидкості лінії порт 1 Gbit/s передає 1 TB приблизно за 2 години 15 хвилин; на практиці ваше власне з'єднання й жорсткі диски задають повільніший темп. Ця цифра є арифметикою (8 000 гігабіт за один гігабіт на секунду), а не виміряною швидкістю, тож заміряйте час відновлення реальної теки, перш ніж на нього розраховувати.

Місячний ліміт трафіку кожного плану більш ніж удвічі перевищує його диск, наприклад 4 TB на місяць на плані Clay обсягом 1 TB, тож завантаження повного диска й відновлення його всього за один місяць залишається в межах ліміту. Кожен сервер має одну IPv4-адресу та IPv6 /64 на порту 1 Gbit/s, з місячною квотою трафіку 2 TB плюс 2 TB за кожен TB збережених даних: 3 TB для Silt, 4 TB для Clay, 6 TB для Shale, 10 TB для Granite, 18 TB для Bedrock. Після вичерпання квоти порт працює на 100 Mbit/s до початку наступного періоду; нічого додатково не виставляється до оплати.

Скільки коштує цільовий сервер для резервного копіювання на віддаленому сервері за TB?

За оглядом Coffervale від 2 листопада 2026 року, плани storage VPS від хостингів, які приймають криптовалюту й не вимагають документа, що посвідчує особу, коштують медіанно $4.00 за TB на місяць, тоді як плани VPS загального призначення від тих самих хостингів коштують $223.44 за TB, приблизно в 56 раза більше. Резервні копії належать на диски, розмірені під ємність. Хостингове сховище резервних копій не дає вам власного сервера, як показує таблиця; компроміс зважено в Чи є storage VPS дешевшою альтернативою rsync.net або BorgBase?. Кожен план і термін — на Скільки коштує storage VPS на місяць?, а план на 1 TB докладно — на Де можна отримати VPS з 1 TB сховища?.