Şifreli VPS yedekleme.
Saha dışında, tekilleştirilmiş ve erişilemez halde.

Yedekler hakkındaki neredeyse her tartışma ilk dakikada yanlış gider, çünkü konuşan iki kişinin kafasındaki arıza farklıdır. Biri ölü bir disk düşünmektedir. Diğeri hesabın ortadan kalktığı bir salı sabahını düşünmektedir. İkisinin de farklı yanıtlara ihtiyacı vardır ve yalnızca birincisini atlatan bir kurulum, ikincisiyle sınanana kadar güvenli hissettirir.

Karşı tasarım yapmaya değer dört başarısızlık modu vardır ve bunlar bir temanın varyasyonları değildir — her biri farklı bir savunmayı alt eder.

Donanım. NVMe arızalanır, host node çöker, dizi aynı anda iki üyesini kaybeder. Herkesin planladığı arıza budur ve modern sanallaştırılmış altyapıda en nadir görülenidir. Yedekli depolama bunu karşılar. Yedekli depolama başka hiçbir şeyi karşılamaz; RAID'in bir yedekleme olmamasının ve hiçbir zaman olmamış olmasının nedeni de budur: her yazmayı sadakatle kopyalar, "her şeyi sil" diyen yazma dahil.

İnsani. Üretime karşı çalıştırılan bir taşıma betiği. Yanlış terminalde bir DROP TABLE. Argümanları ters çevrilmiş bir rsync. Bu, gerçek veri kaybının açık ara en yaygın nedenidir ve buna karşı tek savunma geçmiştir — hatadan öncesine ait, hatanın ulaşamadığı bir yerde tutulan bir kopya. Burada belirleyici olan zamandır: tek kopya otuz saniye geride bir aynaysa, o hatayı zaten içerir.

Kötü niyetli. Biri root erişimi ele geçirir ya da fidye yazılımı yamalanmamış bir uygulama üzerinden içeri sızar. Modern fidye yazılımının yaptığı ilk şey yedekleme yapılandırmasını — kimlik bilgilerini, bağlı paylaşımları, bulut anahtarlarını — aramak ve bulduğunu yok etmektir; çünkü çalışan bir geri yükleme, bir felaketi bir öğleden sonraya indirger. Silme yetkisi olan bir yedekleme kimlik bilgisi, saldırganın da devraldığı bir kimlik bilgisidir. Bu kılavuzun append-only bölümü tam olarak bu başarısızlık için var.

Emanete dayalı. Hiçbir şey bozulmadı ve hiçbir şeye saldırılmadı; sadece erişimi kaybettiniz. Otomatik bir dolandırıcılık sinyali nedeniyle askıya alınan bir hesap, seyahatteyken reddedilen bir kart, bir itiraz, bir uyumluluk incelemesi, sağlayıcıya tebliğ edilen bir emir. Makine sağlam ve erişilemez durumdadır, o hesabın içindeki her anlık görüntü de onunla birlikte erişilemezdir. Bu, bir sağlayıcı içindeki hiçbir yedekliliğin yanıtlayamayacağı bir arızadır ve ciddi bir yedeğin farklı bir çatı altında yaşamasının nedenidir.

Son satır, bu kılavuzun geri kalanının inşa ettiği şeydir. Bir üstündeki satırdan daha pahalı değildir — append-only ayarı ücretsizdir ve ikinci yargı bölgesi de birincisiyle aynı olan $3.90'a mal olur.

Tek bir VPS için yeniden ifade edilmiş 3-2-1 kuralı. Verinin üç kopyası, iki farklı tür depolamada, bunlardan biri de site dışında. Klasik formülasyon teyp ve ofis sunucuları çağından gelir ve ruhu, harfinden daha iyi hayatta kalır. Tek bir self-hosted sunucu için şöyle okunur: VPS üzerindeki canlı veri, başka bir yerdeki ikinci bir makinede bir depo ve — gerçekten yerine konamaz herhangi bir şey için — elinizde tutabileceğiniz, evde bir diskte ya da bir çekmecede duran üçüncü bir kopya. Gerçekte önemli olan sayı üç değildir. Veri kaybolmadan önce kaç bağımsız şeyin ters gitmesi gerektiğidir. Sahip olmaya değer asgari sayı ikidir.

Tüm dosya sistemini yedeklemek savunulabilir ama israfçı bir seçimdir. Bir sunucunun büyük kısmı bir paket yöneticisi uzaklıkta yeniden oluşturulabilir ve taşıdığınız her gigabayt, depoyu budamayı yavaşlatır, tutmayı pahalılaştırır ve acele ettiğinizde aramayı yavaşlatır. Yararlı olan alıştırma bunun tersidir: yeni bir kurulumun size geri veremeyeceklerini listeleyin.

Tipik bir kendi kendine barındırılan VPS için bu liste kısadır ve her zaman şu beş şeyi içerir:

• 01Veritabanı içeriği. Veri dizini değil — dump. Bunun nedenini Adım 05 açıklıyor.
• 02Kullanıcıların yüklediği dosyalar. Docker birimleri, bir yüklemeler ya da medya dizini, bir posta deposu. Genellikle baytların büyük kısmı.
• 03Yapılandırma ve gizli anahtarlar. Compose dosyaları, .env dosyaları, şifreleme anahtarları, API token'ları. Küçüktür ama iki saatlik bir geri yükleme ile iki günlük bir geri yükleme arasındaki farkı yaratır.
• 04Düzenlediğiniz sistem durumu. /etc'in tamamı olduğu gibi almaya yetecek kadar küçüktür — sshd yapılandırması, güvenlik duvarı kuralları, systemd birimleri, cron girdileri, bir akşamınızı verdiğiniz posta yönlendirmesi.
• 05Kimliğe bağlı her şey. Bir Tor gizli hizmet anahtarı, bir Matrix imzalama anahtarı, bir WireGuard özel anahtarı, bir düğüm cüzdanı. Bunlardan birini kaybederseniz hizmet geri gelmez — aynı adı taşıyan başka bir hizmet gelir.

Listeyi kaynak sunucuda iki dosyaya dönüştürün. Bir include listesi niyeti görünür tutar; bir exclude listesi gürültüyü dışarıda bırakır. İkisi de yedekleme komutu tarafından okunur ve ikisi de yedeğin kendisine dahil olmalıdır.

/etc/backup/include.txt

/etc
/opt
/root
/var/backups
/var/lib/docker/volumes
/home

/etc/backup/exclude.txt

# Caches and rebuildable artefacts
**/node_modules
**/.cache
**/*.tmp
/var/lib/docker/volumes/*/_data/cache
# Log noise — keep the config, drop the volume
/var/log/journal
# Never back up the mount point you restore into
/mnt/restore

O Docker satırıyla ilgili iki not, çünkü insanları yanıltıyor. Named volume'lar /var/lib/docker/volumes altında yaşar ve istediğiniz de budur; bind mount'lar ise koyduğunuz her yerde, genellikle Compose dosyasının yanında yaşar ve /opt tarafından kapsanır. Container imajları veri değildir — bir pull ile geri gelirler ve bunları taşıyan bir yedekleme, ihtiyaç duymadığı gigabaytları taşıyor demektir.

Son olarak, etrafında bir şey inşa etmeden önce sonucu ölçün. Bu sayı hangi depo katmanını sipariş etmeniz gerektiğini ve ilk çalıştırmanın dört dakika mı yoksa kırk dakika mı süreceğini söyler:

du -sh --exclude=/var/lib/docker/overlay2 /etc /opt /root /home /var/lib/docker/volumes

Depo sunucusunun tek bir işi vardır ve neredeyse hiçbir gereksinimi yoktur. Çekirdeğe ihtiyacı yoktur, çünkü verinizi hiçbir zaman okumaz — açamadığı şifreli blob'ları tutar. Belleğe ihtiyacı yoktur, çünkü deduplikasyon işi kaynakta gerçekleşir. İhtiyacı olan disk, sabit bir adres ve kaynak makinenin sorunlarının kendisini takip etmediği bir yerdir.

Panelde: Order → VPS → Sentinel, imaj Debian 12 ve — asıl mesele — kaynağın çalıştığı kaleden farklı bir kale. Helsinki çalışıyor, Reykjavík tutuyor. Hesabı açmak için e-posta adresi gerekmez ve fatura Monero, Bitcoin, Lightning ya da desteklenen diğer varlıklardan biriyle ödenir; bu da ikinci makinenin, birincisinin özenle sakındığı kimliği yeniden ortaya çıkarmadığı anlamına gelir.

Çalışma kümesi sütunu, normal değişim hızıyla bir yıl saklanan günlük anlık görüntüleri varsayar; ağırlıklı olarak yavaş değişen dosyalar tutan bir depo çok daha uzun gider, sıkça yeniden yazılan büyük ikili dosyalarla dolu bir depo ise daha kısa gider. Son satır ölçek için ve insanların o kötü güne kadar unuttuğu bir ayrıntı için oradadır: nesne depolama indirme için de ücret alır ve acil durumda yaptığınız şey de indirmedir.

Hedefte — yetkisiz bir kullanıcı ve bir dizin.

adduser --disabled-password --gecos "" backup
install -d -m 0700 -o backup -g backup /srv/restic/web01

Yedekleme kullanıcısının parolası, sudo yetkisi ve giriş yapabileceği hiçbir şeyi yoktur. Yalnızca bir dizine sahip olmak için var olur. Birden fazla makineyi yedekliyorsanız her kaynak makine için ayrı bir dizin verin — kaynak başına bir depo, bir sunucudaki ele geçirilmenin başka birinin geçmişine dokunmasını engeller.

Kaynakta — başka hiçbir şey için kullanılmayan bir anahtar.

ssh-keygen -t ed25519 -f /root/.ssh/id_backup -N "" -C "backup:web01"
cat /root/.ssh/id_backup.pub

Giriş anahtarınızı yeniden kullanmayın. Bu anahtar diskte şifrelenmemiş halde durur, çünkü gözetimsiz bir zamanlayıcının sabahın üçünde onu kullanması gerekir; bu da tam olarak tek bir hedefe ve tek bir amaca kapsamlandırmak isteyeceğiniz türden bir anahtardır.

Yine hedefte — o anahtarın yapabileceklerini kısıtlayın. Genel anahtarı, önüne bir önek ekleyerek /home/backup/.ssh/authorized_keys dosyasına yapıştırın. SFTP üzerinden restic için:

restrict,from="198.51.100.7" ssh-ed25519 AAAAC3NzaC1lZDI1... backup:web01

restrict seçeneği tek kelimeyle port forwarding, agent forwarding, X11 ve PTY tahsisini kapatır, geriye yalnızca dosya aktarımını bırakır. from= ifadesi anahtarı kaynak adrese sabitler, böylece sunucudan çalınan bir kopyası başka hiçbir yerde işe yaramaz. Borg için bir adım daha ileri gidin ve append-only modunun yaşadığı yer olan komutu zorunlu kılın:

command="borg serve --append-only --restrict-to-path /srv/borg/web01",restrict ssh-ed25519 AAAAC3NzaC1lZDI1... borg:web01

O satır, fidye yazılımına karşı tüm savunmayı tek bir yerde toplar: kaynak ne gönderirse göndersin, hedef yalnızca borg serve'ü çalıştırır, yalnızca o yol içinde ve yalnızca ekleme yapan bir modda. Kaynaktaki bir root kabuğu, geçen ayı silmek için bu anahtarı kullanamaz.

Hedefi kaynakta bir kez adlandırın. Sonraki her komutun kısa olması ve adresin tek bir dosyada yaşaması için bunu /root/.ssh/config içine koyun:

Host rkv-repo
    HostName 198.51.100.42
    User backup
    IdentityFile /root/.ssh/id_backup
    IdentitiesOnly yes

Ardından host anahtarını kabul etmek için elle bir kez bağlanın — ssh rkv-repo. Gözetimsiz bir zamanlayıcı bir parmak izi istemine yanıt vermez ve sessizce bir hafta boyunca asılı kalan bir ilk yedekleme klasik bir durumdur. Hedef üzerindeyken, ona sahip olduğunuz diğer her makineyle aynı muameleyi yapın: üzerinde de ilk saat güçlendirme kontrol listesini çalıştırın. Her şeyin bir kopyasını tutar ve tam saati hak eder.

Bir kez ifade edilmiş veritabanı kuralı. Çalışan bir veritabanı motoru durumu bellekte tutar ve kendi zamanlamasıyla diske yazar. O sırada dosyalarını okursanız birkaç farklı andan sayfalardan oluşan bir küme elde edersiniz — geri yüklenebilecek, bozuk şekilde geri yüklenebilecek ya da sorunsuz açılıp son bir saati sessizce eksik olan bir şey olarak geri yüklenebilecek bir dosya. Dışarıdan hangisi olduğunu anlamanın bir yolu yoktur. Bu yüzden yedekleme canlı dosyalara hiç dokunmaz: önce bir dump diske yazılır, yedekleme de bu dump'ı alır.

Her şey tek bir betiğe girer. Onu /usr/local/sbin/nb-backup.sh konumuna koyun, çalıştırılabilir yapın ve yedeğin kendisinde de saklayın:

#!/bin/sh
set -eu

# ---- 1. Consistent dumps, written where the include list will find them.
install -d -m 0700 /var/backups/db

# PostgreSQL in a container:
docker exec -t app-db pg_dumpall -U postgres | gzip -9 > /var/backups/db/postgres.sql.gz

# MariaDB / MySQL, InnoDB tables:
# docker exec -t mail-db mariadb-dump --single-transaction --all-databases \
#   | gzip -9 > /var/backups/db/mariadb.sql.gz

# SQLite — never a plain file copy:
# sqlite3 /opt/app/data/app.db ".backup '/var/backups/db/app.db'"

# ---- 2. The snapshot.
restic backup \
  --files-from /etc/backup/include.txt \
  --exclude-file /etc/backup/exclude.txt \
  --tag nightly --one-file-system

# ---- 3. Retention, then reclaim the space it freed.
restic forget --keep-daily 7 --keep-weekly 4 --keep-monthly 12 --prune

# ---- 4. Structural check every night; read 5% of the data on Sundays.
restic check
[ "$(date +%u)" = "7" ] && restic check --read-data-subset=5%

echo "backup ok: $(date -u +%FT%TZ)"

O script'teki üç ayrıntı, göründüğünden daha fazla iş yapıyor. Baştaki set -eu, başarısız bir dump'ın çalıştırmayı iptal etmesi anlamına gelir; aksi halde önümüzdeki altı ay boyunca sessizce dünün dump'ının anlık görüntüsü alınırdı. forget ve prune tek bir komuttur, çünkü asla yer geri kazanmayan bir saklama politikası, dolan bir diskten ibarettir. Ve pazar kontrolü yalnızca indeksi değil, gerçek verinin bir dilimini okur — depo bozulması nadirdir, sessizdir ve onu bulan tek şey okumaktır.

Zamanlayıcı. İki küçük unit dosyası. Burada doğru zamanlayıcı cron değil systemd'dir, çünkü bir zamanlayıcı size Persistent özelliğini verir — makine kapalıyken kaçırılan bir çalıştırma, sessizce atlanmak yerine bir sonraki açılışta gerçekleşir — ve çünkü journalctl bundan sonra her çalıştırmanın geçmişini tutar.

/etc/systemd/system/nb-backup.service

[Unit]
Description=Nightly encrypted offsite backup
Wants=network-online.target
After=network-online.target docker.service

[Service]
Type=oneshot
EnvironmentFile=/etc/backup/restic.env
ExecStart=/usr/local/sbin/nb-backup.sh
Nice=10
IOSchedulingClass=idle

/etc/systemd/system/nb-backup.timer

[Unit]
Description=Nightly encrypted offsite backup

[Timer]
OnCalendar=*-*-* 03:00:00
RandomizedDelaySec=45m
Persistent=true

[Install]
WantedBy=timers.target

systemctl daemon-reload
systemctl enable --now nb-backup.timer
systemctl list-timers nb-backup.timer
systemctl start nb-backup.service && journalctl -u nb-backup.service -n 40 --no-pager

Rastgeleleştirilmiş gecikme bir süs değildir. İnternetteki her self-hosted sunucu bakımını tam olarak 03:00'te çalıştırır ve log rotasyonu, sertifika yenilemesi ile container güncellemesiyle aynı saniyede başlayan bir yedekleme, gecesini I/O için onlarla mücadele ederek geçirir. Başlangıcı kırk beş dakikaya yaymak hiçbir şeye mal olmaz ve tüm bir gizemli yavaş gece kategorisini ortadan kaldırır.

Ardından başarısızlığı gürültülü hale getirin. Bu, herkesin atladığı ve yukarıdakilerin herhangi birinin yapmaya değip değmediğine karar veren adımdır. Çalışmayı bırakan bir yedekleme hiçbir şey bildirmez: zamanlayıcı tetiklenmeye devam eder, servis başarısız olmaya devam eder ve gösterge paneli yeşil kalırken son iyi anlık görüntü geçmişe doğru uzaklaşır. Servise, gerçekten göreceğiniz bir şey gönderen bir OnFailure= birimi ekleyin ve ayda bir kez anlık görüntü listesinin en üstüne göz atın. Tek satır, tek alışkanlık.

restic snapshots --latest 3        # is the newest one from last night?
systemctl list-timers nb-backup.timer   # is the timer still armed?

Buraya kadar olan her şey kazalara karşı korur. Bu bölüm bir düşmana karşı korur ve tasarım sorunu bir kez görüldüğünde rahatsız edicidir: kaynak makine her gece depoya ulaşmak zorundadır, bu da kaynak makinenin depo için çalışan bir kimlik bilgisi tuttuğu anlamına gelir. Kaynağa sahip olan kişi o kimlik bilgisine de sahiptir. Kimlik bilgisi silebiliyorsa saldırgan da siler — ve modern fidye yazılımı tam olarak bunu, herhangi bir şeyi şifrelemeden önce ve bilerek yapar, çünkü geri yüklenebilen bir kurban ödeme yapmaz.

Çözüm daha iyi bir parola değildir. Bu, asimetrik bir izindir: kaynak veri ekleyebilir ama hiçbirini kaldıramaz. Bunu kurmanın, doğru yapılması en kolaydan en zora doğru sıralanmış üç yolu.

Bir — SSH üzerinden zorunlu append-only. Burası Borg'un kendi sahasıdır ve sahip olduğunuz bir makinede mevcut en temiz yanıttır. Adım 03'teki authorized_keys girdisi borg serve --append-only'yi zorunlu kılar, böylece yakın uç ne isterse istesin uzak uç silme işlemlerini reddeder. Prune yine de gerçekleşmelidir, ama bu, hedef tarafından, kaynağın etkileyemeyeceği bir zamanlamayla ve kaynağın erişemeyeceği bir hesap tarafından yapılır. Kaynakta root yetkisine sahip bir saldırgan depoyu çöple doldurabilir; ama gelmeden önceki geceye ait arşivi silemez.

İki — append-only bir REST uç noktası. restic'in yol arkadaşı rest-server, aynı özelliğe sahip bir --append-only moduna sahiptir: yeni blob'lar kabul edilir, mevcut olanlar kaldırılamaz. Bunu hedefte TLS arkasında çalıştırın, RESTIC_REPOSITORY'yi sftp: yerine https:// URL'sine yönlendirin; savunmanın şekli aynıdır. Hedefte bir servis daha çalıştırmaya mal olur ve aynı güvenceyi satın alır.

Üç — nesne kilidi. S3 uyumlu depolamada, sürümleme artı bir nesne kilidi saklama süresi, süre dolana kadar silmeyi imkansız kılar; bu bir programla değil depolama katmanıyla zorunlu kılınır. Üçünün en güçlüsüdür ve en pahalısıdır, ayrıca bir sağlayıcı hesabı gerektirir — bu da bu kılavuzun bütünüyle dağıtmaya çalıştığı emanet riskini geri getirir. Üçüncü bir kopya olarak mantıklıdır, tek kopya olarak sakıncalıdır.

Bunlardan hiçbiri uymuyorsa — düz SFTP, yazabilen ve dolayısıyla silebilen bir anahtar — bunun tersini varsaymayın; kaynağın hiç dokunamadığı ikinci, bağımsız bir kopya ekleyin. Push yerine pull kullanın: hedefin kaynağa giriş yapmasına, ihtiyaç duyduğunu okumasına ve saklamasına izin verin. Kimlik bilgileri o zaman açığa çıkmamış makinede yaşar ve kaynaktaki bir saldırgan yedeğe işaret eden hiçbir şey bulamaz. Kurulumu biraz daha fazla iş gerektirir ama riski tam da doğru yönde tersine çevirir.

Hangisini seçerseniz seçin, bunu başka herhangi bir güvenlik kontrolünü doğrulayacağınız gibi doğrulayın — kırmaya çalışarak. Kaynaktan, yedekleme anahtarıyla bir silme işlemi deneyin. Doğru sonuç bir reddir.

borg delete ::name-of-an-old-archive
# → Remote: Repository is in append-only mode. Refusing to delete.

Çoğu kişiye yedeğin neden başka bir yerde olması gerektiğini sorun, yanıt yangın, sel ya da elektriğini kaybeden bir veri merkezi olur. Hepsi doğrudur, hepsi giderek nadirleşmektedir ve hepsi yüz kilometrelik bir mesafeyle yanıtlanır. 2026'da işletmeleri gerçekten çökerten arızalar idaridir ve tek başına mesafe bunlara hiçbir çözüm getirmez.

Tek bir hesap tek bir hata noktasıdır. Otomatik bir dolandırıcılık sinyali nedeniyle askıya alma, siz uçaktayken gelen bir ters ibraz, bir uyumluluk incelemesi, bir makineye değil şirkete gönderilen bir kaldırma bildirimi — bunların her biri, anlık görüntüleri tutan sunucu da dahil olmak üzere o hesaba bağlı tüm sunuculara aynı anda ulaşır. Teknik yedeklilik kusursuzdu ve tamamen anlamsızdı. Buna yanıt verebilecek tek yapı, iki farklı sağlayıcı ya da en azından iki farklı yasal çatı altında iki farklı hesaptır.

Tek bir yargı bölgesi tek bir yasal çerçevedir. Dört İskandinav kalesi birbirinin yerine geçmez — İsveç, Finlandiya, Norveç ve İzlanda her biri biraz farklı bir şeyi korur ve Norveç ile İzlanda Avrupa Birliği'nin tamamen dışındadır. Çalışan bir makineyi ve deposunu bu ikisine bölmek, kopyanın yalnızca başka bir yerde olması demek değildir; ikinci, bağımsız bir kurallar bütününün altında olması demektir. İskandinav yargı bölgeleri referansı yasaları tek tek ele alır.

Ve hedef hiçbir şey öğrenmez. Bu, ayrımı bir ödünleşim değil ucuz bir seçenek yapan şeydir. Hem restic hem de Borg, kaynaktan herhangi bir şey çıkmadan önce şifreler, dolayısıyla depo sunucusu anahtarına sahip olmadığı blob'ları saklar. Hangi dosyaları tuttuğunu, kaç tane olduğunu ya da nasıl adlandırıldıklarını bilmez. İkinci bir tarafa güven vermiyorsunuz; kendini okuyamayan bir disk kiralıyorsunuz. Bu aynı zamanda "tam olarak güvenmediğim bir sağlayıcıyı yedekleme hedefi olarak kullanmalı mıyım?" sorusunun da dürüst yanıtıdır — şifreli bir depo için güven neredeyse hiç devreye girmez.

Gecikme bir etken değildir. Helsinki'den Reykjavík'e omurgada 30 ms, Helsinki'den Stockholm'e 8 ms, Stockholm'den Oslo'ya 11 ms. Gecelik bir yedekleme bu sayıların hiçbiriyle ilgilenmez, disk verimiyle sınırlı bir geri yükleme de ilgilenmez. Çifti ağ mesafesi için değil, yasal mesafe için seçin — Nordic bölgeler arasındaki ağ mesafesi yuvarlama hatasından ibarettir.

Açıkça söylenmeye değer bir şey daha var, çünkü bu kılavuzun genel bir sistem yöneticisi blogunda değil de bu sitede olmasının nedeni bu: ikinci makine, birincisinin yanıtladığı her soruyu yeniden açar. Çalışan VPS bir kimlik belgesi olmadan sipariş edilip Monero ile ödendiyse ve ardından onun yedekleme makinesi bir şirket kartı ve bir pasaport taramasıyla sipariş edildiyse, çift tam olarak daha zayıf yarı kadar tanımlanabilir olur. Anonim VPS barındırma üzerine sütun kılavuz üç katmanı ele alır — kayıt, ödeme, ağ — ve bunlar bir yedekleme hedefine de tıpkı bir web sunucusuna uyguladığı kadar harfiyen uygulanır.