Zálohovanie servera: čo, kam a ako často
Server oveľa častejšie stratíte vlastnou chybou než útokom. Zmazaný nesprávny adresár, pokazená migrácia databázy, aktualizácia, po ktorej sa služba nespustí. Vo všetkých týchto prípadoch je rozdiel medzi nepríjemnosťou a katastrofou v tom, či máte funkčnú zálohu.
Pravidlo 3-2-1
Osvedčené a jednoduché: tri kópie dát, na dvoch rôznych typoch úložiska, jedna z nich mimo daného miesta. V praxi to znamená produkčné dáta, lokálna záloha na inom disku a vzdialená kópia u iného poskytovateľa.
Snapshot virtuálneho servera u poskytovateľa nie je záloha v tomto zmysle. Je to kópia, ktorá leží na tej istej infraštruktúre a zmizne s účtom. Ako rýchly návrat pred aktualizáciou je výborná, ako jediná ochrana nestačí.
Čo zálohovať
Celý disk zvyčajne netreba. Operačný systém viete nainštalovať znova, ak máte zapísané, čo na ňom bežalo. Podstatné sú:
- dáta aplikácií, teda nahrané súbory a obsah,
- databázy, a to korektným výpisom, nie skopírovaním súborov za behu,
- konfigurácia, typicky obsah
/etc, - certifikáty a kľúče, ak sa nedajú jednoducho vydať znova.
Databázu zálohujte nástrojom, ktorý na to má: mysqldump, pg_dump, prípadne ich novšie varianty. Kópia dátových súborov bežiacej databázy býva nekonzistentná a zistíte to až pri obnove.
Čím to robiť
Pre jeden až niekoľko serverov sú rozumnou voľbou restic alebo borg. Oba robia prírastkové zálohy s deduplikáciou a šifrujú na strane klienta, takže úložisku nemusíte dôverovať. Restic vie posielať priamo do objektových úložísk typu S3, borg je o niečo starší a rozšírený medzi správcami Linuxu.
restic -r s3:s3.example.com/zalohy backup /var/www /etc
restic -r s3:s3.example.com/zalohy forget --keep-daily 7 --keep-weekly 4 --keep-monthly 6 --pruneDruhý príkaz je rovnako dôležitý ako prvý. Bez neho vám úložisko rastie donekonečna.
Ochrana pred ransomvérom
Ak sa útočník dostane na server, pokúsi sa zmazať aj zálohy. Preto by prístupové údaje uložené na serveri nemali mať právo mazať staré verzie. Riešením je buď režim append-only, ktorý restic aj borg podporujú, alebo zamykanie objektov na strane úložiska.
Ako často
Odpoveď dá jedna otázka: koľko práce ste ochotní stratiť? Ak hodinu, zálohujte každú hodinu. Pri bežnom webe alebo malom e-shope býva rozumný denný interval pre súbory a častejší pre databázu.
Nastavte si aj upozornenie na neúspech. Tichá chyba v skripte znamená, že o zálohy prídete presne v deň, keď ich budete potrebovať, a dovtedy o tom nebudete vedieť.
Časté otázky
Je snapshot u poskytovateľa záloha?
Nie v zmysle pravidla 3-2-1. Leží na tej istej infraštruktúre a zmizne s účtom. Ako rýchly návrat pred aktualizáciou je výborný, ako jediná ochrana nestačí.
Ako zálohovať databázu?
Nástrojom, ktorý na to má, teda mysqldump alebo pg_dump. Kópia dátových súborov bežiacej databázy býva nekonzistentná a zistíte to až pri obnove.
Ako sa brániť ransomvéru?
Prístupové údaje uložené na serveri nesmú mať právo mazať staré verzie. Restic aj borg podporujú režim append-only, alternatívou je zamykanie objektov na strane úložiska.
Ďalšie návody
WireGuard VPN na vlastnom VPS: inštalácia a nastavenie krok za krokom
WireGuard VPN na vlastnom serveri: inštalácia na Debiane a Ubuntu, kľúče, wg0.conf, IP forwarding, NAT, firewall a riešenie typických chýb.
Vajcia na mäkko: ako dlho variť podľa veľkosti a prečo praskajú
Vajcia na mäkko: 4½ minúty pri veľkosti M, 5 minút pri L. Časy podľa stupňa uvarenia, vajce z chladničky, praskanie škrupiny a salmonela.
Raspberry Pi ako domáci server: čo zvládne a kde narazí
Raspberry Pi 5 so 4 až 8 GB pamäte a SSD diskom utiahne zdieľanie súborov, VPN, blokovanie reklám aj Nextcloud pre rodinu. Spotreba, napájanie, SD karta a prístup zvonka.