Резервное копирование с restic на Linux

restic — быстрый, зашифрованный инструмент резервного копирования для Linux, который поддерживает локальные, сетевые (SFTP) и облачные хранилища. В этой статье показано, как установить restic, создать репозиторий по SSH, делать инкрементные снимки, автоматизировать задачи и проверять восстановление.

Быстрые ссылки

• Ценность резервных копий
• Куда сохранять резервные копии
• Установка restic
• Настройка restic
• Создание резервной копии
• Работа со снимками
• Восстановление данных
• Автоматизация и план действий

Зачем нужны резервные копии

Все носители имеют конечный срок службы. HDD и SSD выходят из строя, ноутбуки теряются или крадутся, а ошибки пользователя и злонамеренные действия случаются постоянно. Резервные копии нужны, чтобы быстро восстановить данные и обеспечить непрерывность бизнеса или спокойствие в домашней среде.

Важно: утрата персональных данных может быть нарушением законодательства о защите данных (например, GDPR). Если бэкапы содержат персонально идентифицируемую информацию, защищайте их шифрованием и следите за политиками хранения.

Ключевые требования к ПО для резервного копирования:

• Поддержка нужного хранилища (локально, SFTP, облако).
• Шифрование данных в хранилище.
• Быстрота: инкрементальные и дедуплицируемые снимки.
• Надёжность: проверка целостности и возможности восстановления.

restic отвечает всем этим требованиям: он бесплатен, с открытым исходным кодом, использует дедупликацию и AES-256 для шифрования, а также поддерживает множество бэкендов.

Куда сохранять резервные копии

Выбор места хранения зависит от требований к доступности, скорости восстановления и безопасности.

Варианты:

• Локальная директория или съёмный диск — простой вариант для одного компьютера.
• Сетевой сервер по SFTP (SSH) — быстрый и удобный для локальной сети.
• HTTP REST сервер — для кастомных решений.
• Облачные объекты: S3, OpenStack Swift, BackBlaze B2, Azure Blob, Google Cloud Storage.
• Комбинация: локальное быстое хранилище + оффсайт в облако для защиты от катастроф.

Если целевого бэкенда нет в списке, используйте rclone вместе с restic — это позволяет писать в десятки облачных хранилищ.

Практические заметки:

• Оффсайт: храните копию в другом физическом месте (облако или удалённый сервер).
• Защита паролем и шифрование обязательны для данных вне офиса.
• Размер репозитория и доступный диск на сервере должны соответствовать диапазону хранения — мониторьте место и планируйте рост.

Установка restic

restic доступен в репозиториях основных дистрибутивов Linux, поэтому установка обычно выглядит как одна команда пакета:

Ubuntu / Debian:

sudo apt install restic

Fedora:

sudo dnf install restic

Manjaro / Arch:

sudo pacman -Sy restic

Если вам нужна последняя версия или специфическая сборка, официальные бинарные релизы публикуются в репозитории проекта на GitHub.

Настройка restic

Предпосылки:

• Сервер, где будут храниться репозитории (далее — backup-box), с настроенным SSH.
• Клиентская машина, откуда вы будете делать бэкап.
• Желательно настроенные SSH-ключи для безпарольного доступа и автоматизации.

Создание каталога для репозитория на сервере:

sudo mkdir /srv/restic
sudo chown dave:dave /srv/restic
ls -hl /srv

Пояснение: каталог можно назвать как угодно; /srv — традиционное место для сервисных данных. Отдайте владельцу каталог пользователю, который будет выполнять запись.

Инициализация репозитория с клиента через SFTP (SSH):

restic -r sftp:dave@backup-box.local:/srv/restic init

restic запросит пароль SSH-пользователя (если ключи не настроены) и затем предложит задать пароль репозитория. Этот пароль шифрует ключи внутри репозитория — без него восстановление станет невозможным. Обязательно сохраните и защитите этот пароль.

Важно:

• Используйте отдельного пользователя на backup-box для операций резервного копирования.
• Ограничьте права доступа и при необходимости настройте chroot/домашнюю директорию для пользователя.

Создание резервной копии

Базовая команда для создания бэкапа:

restic backup Documents/kernel/ -r sftp:dave@backup-box.local:/srv/restic

restic подключится к репозиторию, просканирует указанный путь и загрузит недостающие данные. При первом запуске все файлы будут загружены; последующие запуски будут инкрементальными и используют дедупликацию, что значительно экономит место.

Пример вывода процесса копирования и статистики отображается в терминале — names файлов, общее количество, прогресс и скорость.

restic использует AES-256 для шифрования и внутреннюю дедупликацию. В реальных тестах пользователи отмечают высокую скорость: десятки тысяч файлов за минуту на локальной сети — скорость зависит от диска и сети.

Сохранение пароля в файле и защита прав доступа

Если вы не хотите вводить пароль репозитория вручную каждый раз, можно сохранить его в зашифрованном хранилище или в локальном файле с ограниченными правами:

echo "мой-секретный-пароль-репо" > ~/.rest_pass
chmod 600 ~/.rest_pass
restic snapshots -r sftp:dave@backup-box.local:/srv/restic -p ~/.rest_pass

Примечание: файл с паролем является точкой атаки — храните его в менеджере паролей или используйте шифрованный контейнер (например, LUKS) для автоматизированных задач.

Работа со снимками

Каждый запуск backup создаёт снимок (snapshot). Полезные команды для управления снимками:

• Просмотр списка снимков:

restic -r sftp:dave@backup-box.local:/srv/restic snapshots

• Сравнение двух снимков (diff):

restic diff -r sftp:dave@backup-box.local:/srv/restic -p ~/.rest_pass 8f98cd29 8700e4bf

• Проверка целостности репозитория:

restic check -r sftp:dave@backup-box.local:/srv/restic -p ~/.rest_pass

• Удаление старых снимков и очистка данных:

restic forget --prune -r sftp:dave@backup-box.local:/srv/restic -p ~/.rest_pass e506e089

Совет: комбинируйте политики “forget” с фильтрами по времени (например, keep-daily, keep-weekly, keep-monthly) чтобы реализовать retention policy.

Восстановление данных

Восстановление — простая операция. Можно указать уникальный ID снимка или используйте метку latest.

restic restore latest --target ~/restored-data -r sftp:dave@backup-box.local:/srv/restic -p ~/.rest_pass

После восстановления проверьте структуру каталога:

ls

Альтернатива — монтирование репозитория через FUSE, чтобы просматривать файлы как обычную файловую систему:

restic -r sftp:dave@backup-box.local:/srv/restic -p ~/.rest_pass mount /mnt/restic
# После работы отмонтируйте
fusermount -u /mnt/restic

Монтирование удобно для выборочного восстановления отдельных файлов.

Специфические рекомендации для баз данных и больших систем

• Для баз данных используйте логические дампы (pg_dump, mysqldump) или снимки на уровне блочного устройства (LVM/ZFS/Freeze) перед запуском резервного копирования, чтобы обеспечить консистентность.
• Для виртуальных машин и контейнеров планируйте временное приостановление I/O или снимок уровня гипервизора.
• Для очень больших наборов данных храните метаданные и индексы отдельно и применяйте дедупликацию.

Автоматизация и расписание

Примеры автоматизации:

Crontab (ежедневно в 03:10):

10 3 * * * /usr/local/bin/backup-restic.sh

Пример скрипта backup-restic.sh:

#!/bin/bash
export RESTIC_PASSWORD_FILE="$HOME/.rest_pass"
REPO="sftp:dave@backup-box.local:/srv/restic"
restic -r "$REPO" -p "$RESTIC_PASSWORD_FILE" backup /home/dave/Documents/kernel/
restic -r "$REPO" -p "$RESTIC_PASSWORD_FILE" forget --keep-daily 7 --keep-weekly 4 --keep-monthly 6 --prune
restic -r "$REPO" -p "$RESTIC_PASSWORD_FILE" check

Systemd-таймер (альтернатива cron): создайте service и timer-файлы, если вы предпочитаете systemd для расписаний.

Пример минимального systemd unit (backup-restic.service):

[Unit]
Description=Restic backup job

[Service]
Type=oneshot
User=dave
ExecStart=/usr/local/bin/backup-restic.sh

Пример таймера (backup-restic.timer):

[Unit]
Description=Run restic backup daily

[Timer]
OnCalendar=*-*-* 03:10:00
Persistent=true

[Install]
WantedBy=timers.target

Активируйте таймер:

systemctl enable --now backup-restic.timer

Проверка работоспособности (мини-методология)

Регулярно выполняйте следующие шаги, чтобы убедиться, что бэкапы действительно работают:

1. Запланируйте ежедневную автоматическую проверку (restic check).
2. Раз в неделю выполняйте тестовое восстановление небольшой папки на изолированный хост.
3. Раз в месяц — полное восстановление ключевой системой для проверки RTO (время восстановления).
4. Храните журнал действий и уведомления об ошибках (email или система мониторинга).

Критерии приёмки:

• Снимки создаются по расписанию и видны в restic snapshots.
• restic check проходит без ошибок.
• Тестовое восстановление успешно и файлы корректны.

SOP: Плейбук для развертывания репозитория и клиента

1. На backup-box создайте пользователя для бэкапов и каталог /srv/restic.
2. Настройте SSH-ключи от клиента к backup-box без пароля и запретите вход по паролю в /etc/ssh/sshd_config (если это допустимо для вашей среды).
3. Установите restic на всех клиентах.
4. С клиента инициализируйте репозиторий: restic -r sftp:user@backup-box:/srv/restic init.
5. Настройте файл пароля с chmod 600 или используйте менеджер секретов.
6. Настройте автоматический запуск через cron или systemd timer.
7. Запланируйте регулярные проверки (restic check) и тестовые восстановления.
8. Документируйте процессы, владельцев и команды для восстановления.

Роль — чеклисты

Администратор IT:

• Настроить backup-box и выделить диск.
• Ограничить доступ SSH и настроить брандмауэр.
• Обеспечить мониторинг места на диске и алерты.
• Проводить ревью политик retention.

Оператор резервного копирования:

• Следить за логами бэкапов.
• Выполнять restic check и тестовые восстановления.
• Обновлять скрипты автоматизации и секреты.

Домашний пользователь:

• Настроить простой cron или systemd timer.
• Хранить пароль репозитория в менеджере паролей или в файле с правами 600.
• Делать периодические тестовые восстановления.

Decision flowchart — как выбрать место хранения (Mermaid)

flowchart TD
  A[Где хранить бэкапы?] --> B{Нужна оффсайт защита}
  B -- Да --> C{Есть бюджет на облако?}
  B -- Нет --> D[Локальный диск или NAS]
  C -- Да --> E[Облако 'S3/B2/Azure/GCS']
  C -- Нет --> F[Удалённый сервер по SSH 'SFTP']
  E --> G[Комбинация: локальный + облако]
  F --> G
  D --> G
  G --> H[Настроить шифрование и тест восстановления]

Безопасное использование и усиление защиты

Рекомендации по безопасности:

• Используйте отдельного пользователя для бэкапов и ограничьте его права.
• Храните пароль репозитория в менеджере паролей, а не в открытом файле; если нужен файл — защищайте chmod 600.
• Ограничьте доступ по IP для SSH и используйте fail2ban или подобное средство.
• Регулярно обновляйте restic и систему для исправления уязвимостей.
• Рассмотрите аппаратное или программное шифрование диска на backup-box.
• Разделяйте роли: тот, кто делает бэкапы, не всегда должен иметь доступ к содержимому репозитория.

Приватность и соответствие (GDPR и другие нормы)

Если ваши бэкапы содержат персональные данные:

• Документируйте правовые основания хранения этих данных.
• Определите политики хранения и удаления (retention policy).
• Шифруйте бэкапы в состоянии покоя и при передаче.
• Ограничьте доступ сотрудников и ведите учёт доступа.
• Учитывайте требования к локализации данных — некоторые регуляторы требуют хранить персональные данные в пределах определённой юрисдикции.

Замечание: Restic шифрует данные, но элементы соответствия и хранения зависят от ваших политик и контрактов с провайдером хранилища.

Критерии приёмки

• Регулярные снимки создаются и логируются.
• restic check не показывает ошибок.
• Тестовое восстановление возвращает файлы в целостном виде.
• Хранилище имеет запас места на 6–12 месяцев роста данных (оценочно).
• Документирован план восстановления и ответственные лица.

1‑строчный глоссарий

• Snapshot — снимок состояния файловой системы в момент бэкапа.
• Repository — место хранения снимков restic.
• Deduplication — дедупликация: хранение уникальных блоков данных один раз.
• Prune — удаление неиспользуемых данных из репозитория.
• Mount — временная монтировка репозитория через FUSE для просмотра файлов.

Частые ошибки и когда restic может не подойти

• Неправильная конфигурация SSH/прав доступа на сервере приведёт к сбоям.
• Если ваше приложение требует точной консистентности на уровне транзакций (например, некоторые СУБД), используйте предварительные дампы или снимки LVM.
• Для экстремально больших хранилищ с миллиардами мелких объектов может потребоваться специализированное решение с индексированием и более сложной архитектурой.

Резюме

restic — мощный инструмент резервного копирования: шифрует данные, поддерживает множество бэкендов и экономит место с помощью дедупликации. Его легко установить, настроить и автоматизировать на Linux. Главное — продумать место хранения, защитить пароли, настроить проверки и регулярно тестировать восстановление.

Важно

Регулярно проверяйте бэкапы и документируйте процессы. Автоматизация хороша, но ручное тестовое восстановление — лучший индикатор того, что вы действительно сможете восстановиться после инцидента.

Призыв к действию

Начните с малого: инициализируйте репозиторий на тестовом сервере, выполните первую резервную копию и затем протестируйте восстановление — это даст уверенность и позволит постепенно расширять стратегию резервирования.