Restic, S3 i trójkolorowa chmura

Każdy ma backup. Niewielu ma backup, który odtworzył. Oto układ, który przeszedł próbę ognia — czyli próbę „serwer zniknął w sobotę o 23:40".

Zasada jest prosta i stara jak świat: 3-2-1. Trzy kopie, na dwóch różnych nośnikach, z czego jedna poza domem. Problem w tym, że „poza domem" w 2026 roku zwykle znaczy „w jakiejś chmurze", a chmura bez planu wyjścia to tylko czyjś cudzy dysk z abonamentem.

Jedno narzędzie zamiast trzech

Do snapshotów używam restic — deduplikacja, szyfrowanie po stronie klienta i backendy od NFS-a po S3. Jedna konfiguracja, jeden schemat retencji, jeden plik do zrozumienia za pół roku:

export RESTIC_REPOSITORY="s3:https://s3.eu-central-1.amazonaws.com/pochmurny-backup"
export RESTIC_PASSWORD_COMMAND="cat /root/.restic-pass"

restic backup /etc /var/www /srv --exclude-caches
restic forget --keep-daily 7 --keep-weekly 5 --keep-monthly 12 --prune
restic check --read-data-subset=5%

Ta ostatnia linia jest najważniejsza w całym wpisie. restic check bez --read-data sprawdza tylko indeks — a to trochę jak przeglądanie spisu paczek w magazynie, którego nigdy nie otworzyłeś.

Trzy kolory, trzy lokalizacje

Kopie lądują w trzech miejscach i każde ma inną rolę:

• lokalnie — NAS, szybkie przywracanie, pierwsza linia obrony;
• S3 — offsite, wersjonowane, z Object Lockiem na krytyczne katalogi;
• u rodziny — malinka z dyskiem, zero zaufania do mojej sieci i mojego prądu.

„The sky above the port was the color of television, tuned to a dead channel." — mój dysk z 2019 roku też miał taki kolor, zanim zamilkł na zawsze.

Próba ognia

Backup bez testu odtworzenia to kopia Schrödingera. Raz na kwartał losuję jeden plik i jedną bazę, odtwarzam je na czystej maszynie i mierzę czas. Wyniki trafiają do arkusza — bo „jakoś pójdzie" nie jest metryką.

Co bym zrobił inaczej

Szybciej zaczął wersjonować retencję i od razu włączył alerty na brak świeżego snapshotu. Cisza w backupach nigdy nie znaczy, że jest dobrze — zwykle znaczy, że coś przestało się wykonywać trzy tygodnie temu.

Konfiguracja i skrypty: github.com/gwolaniuk. Jak macie własne układy, które przeszły próbę ognia — piszcie na grzegorz@pochmurny.net.