Restic REST Server؛ مخزن بکاپ رمزگذاری‌شده برای همهٔ سیستم‌هایتان

ایران‌کلاد سرویس پشتیبان‌گیری خودش را دارد و این دو نباید با هم اشتباه شوند. بکاپ پنل از کل یک سرور ابری ایران‌کلاد نسخهٔ کامل می‌گیرد، روی فضای جدا از سرور نگه می‌دارد و برای برگرداندن همان سرور به یک لحظهٔ مشخص ساخته شده است؛ چیزی نصب نمی‌کنید و فضای آن ساعتی ۲ تومان به ازای هر گیگابایت حساب می‌شود. اما فقط سرورهای ابری ایران‌کلاد را پوشش می‌دهد و بازگردانی‌اش در سطح کل سرور است.

rest-server یک ابزار بکاپ فایل است که خودتان اجرا و مدیریت می‌کنید. از هر سیستمی که restic رویش اجرا شود بکاپ می‌گیرد، نسخه‌های زیادی را با حذف تکرار ارزان نگه می‌دارد و یک فایل تنها را از هر نسخه برمی‌گرداند. ذخیره‌سازی ابری سازگار با S3 هم گزینهٔ سوم است: restic می‌تواند مستقیم در آن بکاپ بگیرد، بدون اینکه سروری را نگه‌داری کنید.

Restic REST Server در فهرست اپلیکیشن‌های سفارش سرور ابری فعال است و نصب آن خودکار انجام می‌شود؛ لازم نیست دستوری بزنید. اسکریپت نصب روی Ubuntu 22.04 بسته‌های docker.io و apache2-utils را نصب می‌کند؛ دومی برای ساخت فایل رمز با htpasswd لازم است. سپس پوشهٔ /opt/restic-server/data ساخته و یک رمز تصادفی ۲۴ کاراکتری تولید و در فایل /etc/restic-server-pw با دسترسی فقط برای root ذخیره می‌شود.

با htpasswd و گزینهٔ B که الگوریتم bcrypt را انتخاب می‌کند، فایل /opt/restic-server/.htpasswd با کاربر iranclaud ساخته می‌شود. ایمیج restic/rest-server روی پورت ۸۰۰۰ اجرا می‌شود، پوشهٔ data به /data و فایل رمز فقط‌خواندنی به /data/.htpasswd وصل می‌شود و گزینه‌های private-repos و prometheus روشن‌اند. قانون فایروال پورت ۸۰۰۰ هم خودکار ساخته می‌شود. اگر روزی بخواهید همین چیدمان را از نو و دستی بسازید یا بررسی کنید، همین مقادیر مرجع شماست؛ append-only را خودتان اضافه کنید.

آدرس مخزن برای کلاینت به شکل rest و سپس http، نام کاربری، رمز، IP سرور، پورت ۸۰۰۰ و مسیر هم‌نام کاربر است و پس از نصب، نسخهٔ کامل آن همراه دستور init آماده در تب اپلیکیشن صفحهٔ سرور نمایش داده می‌شود. روی سیستم مبدأ با restic init و همین آدرس مخزن را بسازید؛ restic رمز مخزن را می‌پرسد که با رمز htpasswd فرق دارد و کلید رمزگذاری داده‌هاست.

rest-server تقریباً هیچ پردازنده و حافظه‌ای نمی‌خواهد و همه‌چیز به دیسک برمی‌گردد. حجم لازم تقریباً برابر حجم داده‌های اصلی بعد از حذف تکرار، به‌علاوهٔ تغییرات نسخه‌های نگه‌داری‌شده است. حافظهٔ لازم فقط ۵۱۲ مگابایت است، پس از پلن mini به بالا در تب اپلیکیشن‌ها قابل انتخاب است و نصب هزینهٔ جداگانه ندارد. اما mini با ۲۰ گیگابایت دیسک فقط برای آزمایش یا بکاپ یک لپ‌تاپ کوچک مناسب است؛ برای بکاپ واقعی چند سیستم از standard به بالا شروع کنید. بزرگ‌ترین دیسک پلن‌ها ۱۶۰ گیگابایت است و دیسک جداگانه هنوز ارائه نمی‌شود.

ترافیک هم باید حساب شود. هر سرور ۵۰ گیگابایت ترافیک ماهانه دارد و ورودی و خروجی هر دو شمرده می‌شوند. اولین بکاپ کامل بیشترین ترافیک را دارد و بکاپ‌های بعدی فقط تغییرات را می‌فرستند؛ بازگردانی کامل هم ترافیک خروجی است. اگر دادهٔ اولیه از سهمیه بزرگ‌تر است، بستهٔ ترافیک اضافه از پنل لازم می‌شود. برای برآورد هزینه از ماشین‌حساب هزینه استفاده کنید.

اسکریپت ما rest-server را با http ساده روی پورت ۸۰۰۰ اجرا می‌کند. محتوای بکاپ‌ها چون سمت کاربر رمزگذاری شده امن است، اما نام کاربری و رمز htpasswd بدون رمزگذاری در شبکه می‌روند. برای استفاده از روی اینترنت، یکی از این دو راه را بروید: یا rest-server را با گزینهٔ tls و گواهی معتبر اجرا کنید، یا nginx روی پورت ۸۰ را به 127.0.0.1:8000 وصل کنید و دامنه را پشت پروکسی لبه بگذارید تا HTTPS داشته باشید؛ پروکسی لبه فقط به پورت ۸۰ سرور وصل می‌شود. در هر دو حالت قانون پورت ۸۰۰۰ را در فایروال شبکه به IP‌های مبدأ محدود کنید.

دو نکتهٔ دیگر حیاتی است. اول، append-only را روشن کنید تا کلاینتی که به باج‌افزار آلوده شده نتواند بکاپ‌ها را پاک کند. دوم، رمز مخزن restic را جایی بیرون از سیستم مبدأ و سرور بکاپ نگه دارید، مثلاً در مدیر رمز تیم؛ بدون آن هیچ راهی برای بازگردانی نیست و ما هم نمی‌توانیم کمکی کنیم.

بکاپی که خودکار نباشد دیر یا زود فراموش می‌شود. روی لینوکس، دستور restic backup را با یک timer سیستم یا cron هر شب اجرا کنید و آدرس مخزن و رمز را از فایل‌های محافظت‌شده بخوانید، نه از خط فرمان. روی ویندوز Task Scheduler همین کار را انجام می‌دهد. پوشه‌های کش و موقت را با فایل exclude کنار بگذارید تا حجم و زمان بکاپ کم شود.

برای پاک‌سازی، قانون نگه‌داری مشخص کنید؛ برای مثال ۷ نسخهٔ روزانه، ۴ هفتگی و ۱۲ ماهانه. دستور restic forget با این قانون نسخه‌های اضافه را علامت می‌زند و restic prune فضا را آزاد می‌کند. هر چند هفته یک بار هم restic check را اجرا کنید تا سلامت مخزن تأیید شود. اگر آمار prometheus را به Grafana وصل کنید، اندازهٔ مخزن و درخواست‌ها را هم زیر نظر دارید.

بکاپی که بازگردانی‌اش امتحان نشده، فقط یک امید است. پس از راه‌اندازی، دست‌کم یک بار یک پوشه را با restic restore و گزینهٔ target در مسیر دیگری برگردانید و با نسخهٔ اصلی مقایسه کنید. برای پیدا کردن یک فایل خاص، restic ls و restic find کمک می‌کنند و روی لینوکس restic mount همهٔ snapshot‌ها را مثل پوشه نشان می‌دهد.

مخزن restic فقط مجموعه‌ای از فایل‌ها در /opt/restic-server/data است. برای انتقال به سرور دیگر، همین پوشه را کپی کنید یا با restic copy مخزن را به مقصد دوم، مثلاً یک فضای ذخیره‌سازی ابری، تکثیر کنید تا دو نسخهٔ مستقل داشته باشید. از خود سرور rest-server هم می‌توانید هر وقت خواستید بکاپ کامل از تب بکاپ پنل بسازید.

نصب خودکار، rest-server را آمادهٔ کار تحویل می‌دهد، اما چیدمان آن بدون TLS و بدون append-only است و برای استفادهٔ واقعی باید این دو را خودتان تنظیم کنید. سرور تک‌نودی است و دیسک آن تکرار جغرافیایی ندارد؛ برای داده‌های حیاتی، یک نسخهٔ دوم در مقصد دیگری نگه دارید.

فضای بکاپ به دیسک پلن، حداکثر ۱۶۰ گیگابایت، محدود است و دیسک جداگانه هنوز ارائه نمی‌شود. سهمیهٔ ترافیک ماهانه اولین بکاپ‌های بزرگ را محدود می‌کند. rest-server رابط کاربری وب ندارد و همهٔ کارها با کلاینت restic در خط فرمان انجام می‌شود.