Làm thế nào để dùng storage VPS để sao lưu ngoài máy chủ?

Một backup VPS cho bạn điều gì mà RAID hay snapshot không có?

Một backup VPS giữ một bản sao riêng, có phiên bản, của dữ liệu bạn ở một tòa nhà khác, được truy cập bằng thông tin đăng nhập riêng của nó. Đó là đặc tính duy nhất mà các phương án thay thế thông thường thiếu. Dự phòng ổ đĩa giúp máy chủ tiếp tục chạy khi một ổ hỏng; nó không khôi phục được việc xóa, ransomware hay mất tài khoản, nên không phải là sao lưu. Ảnh chụp nhanh nằm trên cùng ổ đĩa với máy chủ mà nó chụp, nên có thể khôi phục một sai lầm nhưng không phải là bản sao ở nơi khác.

Trong tìm kiếm, "backup VPS" mang hai nghĩa: sao lưu một VPS ra nơi khác, và dùng một VPS làm nơi bản sao lưu đáp xuống. Đó là cùng một công việc nhìn từ hai đầu: một máy chủ production đẩy các kho lưu trữ Borg hoặc restic tới một storage VPS y như một laptop.

Vì sao một storage VPS không phải là bản sao lưu 3-2-1?

Vì 3-2-1 đếm số bản sao, loại phương tiện và địa điểm, mà một VPS chỉ là một bản sao ở một địa điểm. Quy tắc này, như bài Data Backup Options của US-CERT trình bày, là ba bản sao cho mỗi tệp quan trọng, trên hai loại phương tiện khác nhau, với một bản sao được lưu ở nơi khác. Một storage VPS là một bản sao ở một nơi. Quy tắc 3-2-1 yêu cầu ba bản sao, trên hai loại phương tiện, với một bản ở nơi khác: storage VPS phù hợp làm bản sao ở nơi khác đó, bên cạnh hai bản bạn tự giữ.

Một cách bố trí đáp ứng được điều đó cho home lab hoặc một nhóm nhỏ:

• Bản sao 1: dữ liệu đang hoạt động trên laptop, máy chủ hoặc NAS của bạn.
• Bản sao 2: một bản sao lưu cục bộ trên ổ USB hoặc một NAS thứ hai, khôi phục nhanh chóng.
• Bản sao 3: storage VPS: được mã hóa, chỉ ghi thêm, ở một thành phố nơi bạn không sống và cũng không làm việc.

Một bản sao lưu chỉ giữ ở một nơi là điểm lỗi đơn lẻ với một cái tên nghe có vẻ yên tâm.

Tôi gửi bản sao lưu từ máy chủ đến storage VPS qua SSH như thế nào?

Hãy cấp cho mỗi máy một khóa SSH riêng, một tài khoản hoặc đường dẫn riêng trên VPS, và một kho lưu trữ riêng, rồi để công cụ sao lưu làm phần còn lại qua SSH. Borg cần cài Borg trên VPS và chạy borg serve ở đó; restic có thể ghi qua SFTP thuần mà không cần thêm gì trên máy chủ, hoặc nói HTTP với rest-server. Khóa riêng biệt nghĩa là một laptop bị đánh cắp chỉ lộ một kho lưu trữ, chứ không phải tất cả.

# On the machine you back up: a key used for backups only
ssh-keygen -t ed25519 -N '' -C 'backup web1' -f ~/.ssh/backup_ed25519
cat ~/.ssh/backup_ed25519.pub

# On the storage VPS, as root: one account per machine, holding that key
mkdir -p /srv/backup
useradd --create-home --home-dir /srv/backup/web1 --shell /bin/sh backup-web1
install -d -m 700 -o backup-web1 -g backup-web1 /srv/backup/web1/.ssh
echo 'ssh-ed25519 AAAA...paste-the-key... backup web1' >> /srv/backup/web1/.ssh/authorized_keys
chown backup-web1:backup-web1 /srv/backup/web1/.ssh/authorized_keys

# Back on the client: a short SSH alias, then restic over SFTP
cat >> ~/.ssh/config <<'EOF'
Host coffer
    HostName 203.0.113.10
    User backup-web1
    IdentityFile ~/.ssh/backup_ed25519
    IdentitiesOnly yes
EOF
restic -r sftp:coffer:/srv/backup/web1/repo init
restic -r sftp:coffer:/srv/backup/web1/repo backup /etc /home /var/www

Vì sao nên mã hóa ở client thay vì trên VPS?

Vì khi đó VPS chỉ lưu trữ bản mã, và không ai chạm được vào đĩa của nó có thể đọc tệp của bạn. Về mặt kỹ thuật, bất kỳ ai vận hành hypervisor cũng có thể đọc ổ đĩa ảo không mã hóa, ở bất kỳ nhà cung cấp VPS nào. Chúng tôi không mở tệp của bạn, và dữ liệu bạn mã hóa trước khi rời khỏi máy sẽ loại bỏ câu hỏi đó. KVM cho máy chủ của bạn nhân riêng, nên bạn có thể đặt LUKS trên ổ đĩa dữ liệu hoặc chạy ZFS với mã hóa gốc, và khóa không bao giờ rời khỏi bạn. Để sao lưu, hãy mã hóa trên máy của bạn trước khi tải lên (Borg, restic và Kopia đều làm được), để máy chủ chỉ lưu bản mã hóa.

Borg hỏi chế độ mã hóa ở bước borg init; tài liệu của nó khuyến nghị repokey với một cụm mật khẩu mạnh và dặn giữ một bản sao của khóa bên ngoài cả kho lưu trữ lẫn máy đang được sao lưu. restic mã hóa toàn bộ dữ liệu nó lưu bằng AES-256 và xác thực bằng Poly1305-AES, không có chế độ không mã hóa. Hãy giữ cụm mật khẩu và khóa đã xuất trong một trình quản lý mật khẩu và trên giấy. Mã hóa thực hiện trên máy chủ bảo vệ máy chủ; mã hóa thực hiện trên máy của bạn bảo vệ bạn.

Chế độ chỉ ghi thêm bảo vệ chống lại điều gì?

Chỉ ghi thêm ngăn một client bị xâm phạm xóa các bản sao lưu mà nó đã tạo. Kẻ tấn công chiếm được một máy chủ cũng chiếm được thông tin đăng nhập sao lưu của nó, và ở chế độ thông thường những thông tin này có thể chạy borg delete hoặc restic forget --prune trước khi ghi chú đòi tiền chuộc xuất hiện.

• Borg: thêm --append-only vào lệnh borg serve được ép buộc trong authorized_keys. Tài liệu của Borg lưu ý rằng prune và delete vẫn chạy ở chế độ này nhưng chỉ đánh dấu dữ liệu là đã xóa: không giải phóng dung lượng và không có compaction nào diễn ra.
• restic: khởi động rest-server với --append-only, chế độ này chấp nhận bản sao lưu mới và từ chối xóa hoặc sửa đổi các bản hiện có. SFTP thuần không có chế độ như vậy.

Cái giá phải trả là việc dọn dẹp: prune cần một khóa thứ hai, không bị hạn chế, dùng từ một máy mà kẻ tấn công không thể chạm tới. Trên các kho lưu trữ restic chỉ ghi thêm, tài liệu của restic dặn bạn viết các policy forget với --keep-within. Công thức đầy đủ cho Borg có trong Tôi thiết lập máy chủ sao lưu Borg trên VPS như thế nào?, và lựa chọn restic trong Restic: REST server hay SFTP để sao lưu lên VPS?.

Làm sao tôi biết bản sao lưu ngoài máy chủ của mình sẽ khôi phục được?

Hãy khôi phục từ đó, theo lịch, lên một máy không phải máy gốc. Một job kết thúc với trạng thái 0 chứng minh việc tải lên đã chạy, chứ không chứng minh tệp của bạn quay về được. Hãy giãn các lần kiểm tra ra để những lần chậm hiếm khi chạy:

Một lần khôi phục đầy đủ mất bao lâu, và nó có vừa hạn mức lưu lượng không?

Ở tốc độ tối đa của đường truyền, một cổng 1 Gbit/s truyền 1 TB trong khoảng 2 giờ 15 phút; trên thực tế, kết nối của chính bạn và các ổ cứng đặt ra nhịp độ chậm hơn. Con số đó là phép tính (8.000 gigabit với một gigabit mỗi giây), không phải tốc độ đo được, nên hãy tính giờ khôi phục một thư mục thật trước khi bạn trông cậy vào nó.

Hạn mức lưu lượng hàng tháng của mọi gói đều lớn hơn gấp đôi dung lượng đĩa của nó, ví dụ 4 TB một tháng trên gói Clay 1 TB, nên việc tải lên một đĩa đầy và khôi phục toàn bộ trong cùng một tháng vẫn nằm trong hạn mức. Mỗi máy chủ có một địa chỉ IPv4 và một IPv6 /64 trên cổng 1 Gbit/s, với hạn mức lưu lượng hàng tháng 2 TB cộng 2 TB cho mỗi TB lưu trữ: 3 TB cho Silt, 4 TB cho Clay, 6 TB cho Shale, 10 TB cho Granite, 18 TB cho Bedrock. Vượt hạn mức thì cổng chạy ở 100 Mbit/s cho đến khi kỳ tiếp theo bắt đầu; không bị tính thêm phí.

Một đích sao lưu ngoài máy chủ tốn bao nhiêu mỗi TB?

Theo khảo sát của Coffervale ngày 2 tháng 11 năm 2026, các gói VPS lưu trữ từ những nhà cung cấp nhận crypto và không yêu cầu giấy tờ tùy thân có giá trung vị là $4.00 mỗi TB một tháng, trong khi các gói VPS đa dụng từ cùng những nhà cung cấp đó có giá $223.44 mỗi TB, cao hơn khoảng 56 lần. Bản sao lưu nên nằm trên các đĩa được chọn theo dung lượng. Lưu trữ sao lưu dạng dịch vụ thuê không cho bạn một máy chủ riêng, như bảng cho thấy; sự đánh đổi này được cân nhắc trong VPS lưu trữ có phải là lựa chọn thay thế rẻ hơn rsync.net hay BorgBase không?. Mọi gói và điều khoản có trên Một VPS lưu trữ tốn bao nhiêu mỗi tháng?, và gói 1 TB chi tiết trên Tôi có thể lấy VPS với 1 TB lưu trữ ở đâu?.