Zálohy mimo servera
Prečo ťa kópia vedľa dát nezachráni, kam ju umiestniť, ako obmedziť práva kľúča a čo má byť dostupné, ak je stroj úplne nedostupný.
Aktualizované 23. augusta 2026
Kópia na tom istom disku ťa ochráni presne pred jednou vecou — pred tvojou vlastnou chybou rm -rf. Pred preinštalovaním OS, stratou prístupu, ransomware alebo akýmkoľvek zlyhaním, ktoré položí celý stroj, ťa zachráni len kópia na inom mieste.
Kde ju urobiť
| Kde | Výhody | Na čo si dať pozor |
|---|---|---|
| Druhý VPS | Plná kontrola, rýchle prepojenie | Oba stroje u jedného poskytovateľa — zdieľané riziko |
| Domáci počítač alebo NAS | Lacné, fyzicky oddelené | Potrebuje trvalú adresu alebo musí iniciovať domáca strana |
| S3 objektové úložisko | Žiadna údržba, platíš za objem | Pri obnove si over náklady na odchádzajúcu prevádzku |
| Samostatné úložisko s prístupom cez SFTP | Jednoduché, pri veľkých objemoch lacné | Na strane úložiska zvyčajne chýba verzovanie |
Princíp je jednoduchý: kópia musí prežiť úplnú stratu zdrojového stroja. Ak obe úložiská padnú pri jednej udalosti, máš len jedno miesto.
Kto od koho ťahá
Sú dve možnosti a pred ransomware ťa chránia rôzne.
Stroj odosiela kópiu. Jednoduché, ale odosielací kľúč leží na stroji. Útočník, ktorý získa root, sa dostane aj na úložisko.
Úložisko si kópiu ťahá samo. Kľúč leží na prijímajúcej strane a stroj o ňom nič nevie. Bezpečnejšie, ale vyžaduje, aby sa prijímajúca strana vedela dostať na stroj.
Kompromis, ktorý pokrýva oboje: stroj odosiela, ale kľúč na prijímajúcej strane je obmedzený len na zápis, bez práva mazať.
command="rrsync -wo /srv/backup/vds",restrict ssh-ed25519 AAAA... vds-backup
Pri Resticu hrá rovnakú úlohu režim append-only — repozitár, do ktorého sa dá len pridávať:
restic --repo sftp:backup@host:/srv/restic backup /data
V tomto prípade staré snapshoty maže prijímajúca strana podľa vlastného plánu, nie stroj.
Kľúč, ktorý leží na stroji a má právo mazať kópie, znehodnocuje celú schému. Ransomware hľadá práve takýto kľúč ako prvý. Právo mazať musí patriť niekomu inému.
Kontrola dostupnosti
Obnovu zvyčajne potrebuješ v najhoršom možnom momente: stroj je dole, panikáriš a nemáš čas. Vopred si over, že máš:
- Adresu úložiska a prihlasovacie údaje — zapísané mimo tohto stroja.
- Heslo k Restic repozitáru — v správcovi hesiel.
- Root heslo stroja — ukladá sa zašifrované a zobrazí sa tlačidlom na karte „Prístup“ v paneli
/hosting/vds/m/<id>, ale panel je dostupný len tebe. - Zoznam, čo je kde: ktorá kópia obsahuje čo.
Zapíš si to do krátkej poznámky a ulož ju mimo VPS.
Koľko dát presúvať
Šírka pásma je až 500 Mbps, ale úzkym hrdlom býva zvyčajne strana prijímateľa. Prvú plnú kópiu urob ručne a v čase pokoja; potom už prejdú len zmeny. Na obmedzenie rýchlosti, aby neprekážala službám:
rsync --bwlimit=10000 ...
restic backup --limit-upload 10000 ...
Hodnoty sú v kilobajtoch za sekundu.
Časté chyby
- Obe kópie u jedného poskytovateľa na jednom mieste. To je jedno miesto, nech to nazveš akokoľvek.
- Kópia sa odosiela, ale nikto nevie, že sa zastavila. Nastav si kontrolu odosielania v Uptime Kuma.
- Obnovu si nikdy neskúšal. Pozri skúšobná obnova.
- Prihlasovacie údaje k úložisku sú v skripte, ktorý skončí aj v kópii. Pri šifrovaní to nie je fatálne, ale ak stratíš úložisko spolu so skriptom, je to diera.
Čo presne dať do kópie, nájdeš v čo zálohovať; metódy sú rsync a Restic.