Zálohy pomocí restic na jiné místo

Denní záloha od WebOké (viz Obnovení záloh od WebOké) vždy obnoví celý Váš VPS a je uložena u stejného poskytovatele. Pomocí restic si navíc vytvoříte vlastní zálohu: šifrovanou, na jiném místě, a můžete z ní obnovit i jednotlivé soubory.

Co budete potřebovat?

• Místo mimo Váš VPS, ke kterému se dostanete přes SFTP, například úložnou službu nebo druhý server. V příkladech je to backup.example.net s uživatelem backup.
• Silné heslo pro zálohu. Pokud ho ztratíte, bude Vaše záloha nepoužitelná. Uložte si ho také mimo server, ve správci hesel.

Instalace a příprava

Záloha běží pod uživatelem root, aby mohla číst všechno.

anna@web1:~$ sudo apt install restic
anna@web1:~$ sudo -i
root@web1:~# ssh-keygen -t ed25519 -C "restic web1" -N "" -f /root/.ssh/id_backup
root@web1:~# ssh-copy-id -i /root/.ssh/id_backup.pub backup@backup.example.net
root@web1:~# install -m 600 /dev/null /root/.restic-wachtwoord
root@web1:~# nano /root/.restic-wachtwoord

Do /root/.ssh/config zapište, že root má pro zálohovací server používat tento klíč:

Host backup.example.net
    User backup
    IdentityFile /root/.ssh/id_backup

Poté vytvořte repozitář (místo, kam restic všechno ukládá):

root@web1:~# export RESTIC_REPOSITORY=sftp:backup@backup.example.net:/restic/web1
root@web1:~# export RESTIC_PASSWORD_FILE=/root/.restic-wachtwoord
root@web1:~# restic init
created restic repository 3c9a1e5b2d at sftp:backup@backup.example.net:/restic/web1

Zálohovací skript

Uložte toto do /usr/local/sbin/backup.sh a nastavte soubor jako spustitelný pomocí chmod 700 /usr/local/sbin/backup.sh:

#!/bin/sh
export RESTIC_REPOSITORY=sftp:backup@backup.example.net:/restic/web1
export RESTIC_PASSWORD_FILE=/root/.restic-wachtwoord

# 1. Databases dumpen (zie 8.2)
/usr/local/sbin/voor-backup.sh || exit 1

# 2. Apps met SQLite even stilzetten, back-up maken, weer starten
cd /srv/diensten
docker compose stop vaultwarden uptime-kuma n8n
restic backup /etc /home /root /srv /var/backups/db /var/lib/docker/volumes   --exclude /var/lib/docker/volumes/diensten_wp-db
RESULTAAT=$?
docker compose start vaultwarden uptime-kuma n8n
[ "$RESULTAAT" -eq 0 ] || exit 1

# 3. Oude back-ups opruimen
restic forget --keep-daily 7 --keep-weekly 4 --keep-monthly 6 --prune || exit 1

U stop a start uveďte jen aplikace, které skutečně máte; proč je třeba je na chvíli zastavit, se dočtete v Správné zálohování databází a svazků Dockeru. Tam také najdete, co obsahuje voor-backup.sh. Aplikace se vždy znovu spustí, i když se záloha nezdaří. Pomocí forget a --prune uchováte 7 denních, 4 týdenní a 6 měsíčních záloh; ostatní se smažou.

Automaticky každou noc

Vytvořte /etc/systemd/system/backup.service:

[Unit]
Description=restic back-up

[Service]
Type=oneshot
ExecStart=/usr/local/sbin/backup.sh

a /etc/systemd/system/backup.timer:

[Unit]
Description=restic back-up elke nacht

[Timer]
OnCalendar=*-*-* 03:15
Persistent=true

[Install]
WantedBy=timers.target

root@web1:~# systemctl daemon-reload
root@web1:~# systemctl enable --now backup.timer
root@web1:~# systemctl start backup.service
root@web1:~# journalctl -u backup.service -e

Kontrola a obnovení

root@web1:~# restic snapshots
root@web1:~# restic check
root@web1:~# restic restore latest --target /tmp/terug --include /srv/diensten/vw-data

Obnovujte do samostatné složky, například /tmp/terug, a poté zkopírujte, co potřebujete. Vyzkoušejte si to jednou za čtvrtletí: záloha, kterou jste nikdy neobnovili, je jen naděje, ne záloha.

Tip: Nechte se upozornit, když záloha neproběhne. Vytvořte v Uptime Kuma monitor typu Push (viz Uptime Kuma: sledování Vašich webů a serveru) a na konec backup.sh přidejte tyto dva řádky. Pokud signál nedorazí, obdržíte upozornění.

sleep 30
curl -fsS -m 10 "https://status.example.com/api/push/JOUWCODE?status=up&msg=OK" >/dev/null