بکاپ با Restic؛ نسخه آفسایت رمزنگاری‌شده در S3

مستندات restic کنار دستور init هشدار می‌دهد: «اگر رمز را گم کنید، به داده‌های ذخیره‌شده در مخزن دسترسی نخواهید داشت». هر طرح بکاپ با restic پیش از انتخاب سرویس ذخیره‌سازی باید جوابی برای این جمله داشته باشد. برنامه restic داده را پیش از ارسال به S3 رمزنگاری می‌کند؛ ارائه‌دهنده محتوا را نمی‌خواند و کلید همه چیز، رمز مخزن است.

تهدید	آنچه نجاتتان می‌دهد	دستور یا تنظیم restic
گم شدن رمز مخزن	نسخه دوم رمز بیرون از سرور	دستور key add
کلید S3 دزدیده‌شده	مقصدی که حذف را نمی‌پذیرد	حالت --append-only در rest-server
خرابی خاموش داده	خواندن نمونه‌ای از داده مخزن	گزینه check --read-data-subset
سیاست نگهداری اشتباه	پیش‌نمایش حذف	گزینه forget --dry-run

رمزنگاری پیش از ارسال، مسئله اعتماد به ارائه‌دهنده را حل می‌کند و سؤال تازه‌ای می‌سازد: رمز و کلیدها کجا هستند و چه کسی به آن‌ها می‌رسد. بحث تفاوت اسنپ شات و بکاپ نشان داده چرا اسنپ‌شات پنل نسخه بیرون از سرور نیست.

مخزن رمزنگاری‌شده روی Object Storage

مخزن restic روی Object Storage یک bucket است که restic فقط داده رمزنگاری‌شده در آن می‌نویسد. نشانی‌اش با پیشوند s3: شروع می‌شود و کلیدها از متغیرهای AWS_ACCESS_KEY_ID و AWS_SECRET_ACCESS_KEY خوانده می‌شوند؛ این قاعده برای Amazon S3 و سرویس‌های سازگار از جمله MinIO یکی است.

خروجی‌های این صفحه از بکاپ با restic 0.19.1 روی یک مخزن محلی آزمایشی است؛ دستورهای S3 از مستندات آمده‌اند. بسته apt اوبونتو 24.04 نسخه 0.16.4 است؛ باینری رسمی را در /usr/local/bin/restic بگذارید و با restic self-update به‌روز نگه دارید.

ساخت مخزن با init

کلیدی که در خط فرمان تایپ شود، در تاریخچه shell می‌ماند. برای آزمون نخست مهم نیست؛ کار شبانه از فایل محیطی می‌خواند.

export AWS_ACCESS_KEY_ID=PLACEHOLDER_ACCESS_KEY
export AWS_SECRET_ACCESS_KEY=PLACEHOLDER_SECRET_KEY
restic -r s3:https://s3.example.com/backup-bucket init

طبق صفحه ساخت مخزن در مستندات restic، شکل کلی نشانی s3:https://server:port/bucket_name است. init این هشدار را چاپ کرد:

Please note that knowledge of your password is required to access
the repository. Losing your password means that your data is
irrecoverably lost.

نخستین backup با exclude

کش و فایل موقت، حجم مخزن را بی‌دلیل بالا می‌برند. گزینه --exclude الگو می‌گیرد و --exclude-caches محتوای پوشه‌های دارای CACHEDIR.TAG را کنار می‌گذارد.

restic backup /var/www /etc --exclude-caches \
  --exclude="/var/www/*/cache" --exclude="/var/www/cache"

اسلش اول، الگو را از ریشه حساب می‌کند و ستاره از روی / رد نمی‌شود. ما دیر فهمیدیم: در آزمون، الگوی ستاره‌دار site1/cache را کنار گذاشت ولی خود www/cache را نه؛ الگوی دوم برای همین است.

رمز مخزن تنها راه بازگشت داده است

برنامه restic داده مخزن را با کلیدهایی رمز می‌کند که فقط با رمز مخزن باز می‌شوند. مدل تهدید restic می‌گوید محتوای فایل‌ها و متادیتا بدون رمز در دسترس نیست؛ پس بعد از گم شدن رمز، نه ارائه‌دهنده راه میانبری دارد و نه شما.

پاکت مهروموم سؤالات کنکور از دست راننده و انباردار می‌گذرد و هیچ‌کدام سؤال‌ها را نمی‌خوانند؛ حساسیت ماجرا روی کسی است که اجازه باز کردنش را دارد. بکاپ با restic آن اجازه را از دیسک ارائه‌دهنده برمی‌دارد و در یک فایل کوچک متنی می‌گذارد.

فایل رمز و RESTIC_PASSWORD_FILE

رمزی که داخل اسکریپت نوشته شود، با هر کپی اسکریپت جابه‌جا می‌شود. مستندات برای اجرای خودکار RESTIC_PASSWORD_FILE و RESTIC_REPOSITORY را پیشنهاد می‌کنند. فایل را از اول با مجوز بسته بسازید و همان رمز init را در آن بنویسید:

install -d -m 700 /etc/restic
install -m 600 /dev/null /etc/restic/password
export RESTIC_REPOSITORY=s3:https://s3.example.com/backup-bucket
export RESTIC_PASSWORD_FILE=/etc/restic/password

در آزمون اول، فایل رمز را از سر عادت کنار پوشه مخزن ساخته بودیم؛ کسی که آن پوشه را بردارد رمز را هم برده است.

کلید دوم با key add

با یک رمز، یک اشتباه برای قفل شدن مخزن کافی است. دستور key add رمز دومی به همان مخزن اضافه می‌کند و جای آن در مدیر رمز یا روی کاغذ، بیرون از سرور است.

restic key add --new-password-file /root/second-pass
restic key list
shred -u /root/second-pass

رمز دوم را پیش از shred -u به مدیر رمز ببرید؛ در key list کلید فعلی ستاره دارد.

اجرای شبانه با systemd timer

# /etc/restic/env  (chmod 600)
RESTIC_REPOSITORY=s3:https://s3.example.com/backup-bucket
RESTIC_PASSWORD_FILE=/etc/restic/password
RESTIC_CACHE_DIR=/var/cache/restic
AWS_ACCESS_KEY_ID=PLACEHOLDER_ACCESS_KEY
AWS_SECRET_ACCESS_KEY=PLACEHOLDER_SECRET_KEY

# /etc/systemd/system/restic-backup.service
[Service]
Type=oneshot
EnvironmentFile=/etc/restic/env
CacheDirectory=restic
ExecStart=/usr/local/bin/restic backup /var/www /etc --exclude-caches --exclude=/var/www/*/cache --exclude=/var/www/cache
ExecStart=/usr/local/bin/restic check --read-data-subset=5%%

# /etc/systemd/system/restic-backup.timer
[Timer]
OnCalendar=*-*-* 02:30:00
RandomizedDelaySec=15min
Persistent=true

[Install]
WantedBy=timers.target

محیط آزمون ما systemd نداشت؛ دو دستور سرویس را بدون HOME اجرا کردیم: بدون RESTIC_CACHE_DIR با خطای unable to locate cache directory و کد 1 ماند و با آن کامل شد. فعال‌سازی با systemctl enable --now restic-backup.timer است و Persistent=true نوبت جامانده در خاموشی را بعداً اجرا می‌کند. بررسی ۵ درصدی هر شب از S3 دانلود دارد؛ ترافیک خروجی را حساب کنید.

اگر مهاجم کلید S3 را داشته باشد، نسخه‌های قدیمی چه می‌شوند؟

با کلید S3 دارای اجازه حذف، مهاجم همه اشیای مخزن را پاک می‌کند. مدل تهدید restic صریح است: برنامه برای محافظت در برابر حذف فایل در محل ذخیره‌سازی طراحی نشده. نسخه‌های قدیمی فقط وقتی می‌مانند که خود مقصد حذف را نپذیرد.

ما هم تا پیش از خواندن این مدل تهدید، رمزنگاری را با امنیت بکاپ یکی می‌گرفتیم. هر کس root سرور را بگیرد، کلید کامل داخل /etc/restic/env را هم دارد و رمزنگاری بکاپ با restic جلویش را نمی‌گیرد.

چه کسی چه می‌بیند

چه کسی	نام فایل‌ها	محتوای فایل‌ها	توان حذف نسخه‌ها
ارائه‌دهنده فضا	نه؛ متادیتا رمز شده	نه	بله، دسترسی نوشتن دارد
مهاجم با root روی سرور	بله، با فایل رمز سرور	بله	بله؛ در append-only فقط افزودن
شما با رمز مخزن	بله	بله	بله، با forget و prune

مقصد append-only با rest-server

سرور آلوده، بکاپ‌های خودش را هم پاک می‌کند. در پاکسازی سرور از باج‌افزار هم راه برگشت، نسخه سالمی است که به سیستم آلوده وصل نبوده. روی S3 خام، restic جلوی حذف را نمی‌گیرد؛ مقصد را عوض کنید یا امکانات نگهداری ارائه‌دهنده را در مستندات خودش ببینید.

سیاست forget را پیش از اجرا با dry-run بیازمایید

دستور forget با گزینه‌های --keep-* تعیین می‌کند کدام اسنپ‌شات بماند و --dry-run همین تصمیم را بدون حذف چاپ می‌کند.

خواندن ستون Reasons

سیاستی که روی کاغذ درست است، در عمل تاریخچه را می‌برد. --keep-daily n برای n روز آخرِ دارای اسنپ‌شات، از هر روز جدیدترین را نگه می‌دارد.

restic forget --keep-daily 7 --keep-weekly 5 --keep-monthly 12 --dry-run

روی سه اسنپ‌شات یک روز انتظار داشتیم فقط جدیدترین بماند؛ خروجی، کوتاه‌شده:

keep 2 snapshots:
4caafce0  13:20:15  oldest daily snapshot
01e0a250  13:20:16  daily snapshot
remove 1 snapshots:
31c1dc12  13:20:16

قاعده‌اش در مستندات آمده: وقتی هنوز به اندازه هر بازه --keep-* اسنپ‌شات ندارید، قدیمی‌ترین هم اضافه نگه داشته می‌شود و برچسب oldest می‌گیرد. پیش از سپردن نگهداری بکاپ با restic به prune، سیاست را چند شب با dry-run ببینید، بعد از کلاینت جدا اجرا کنید:

restic forget --keep-daily 7 --keep-weekly 5 --keep-monthly 12 --prune
restic check

مخزن در مدت prune قفل است؛ زمانش را از تایمر شبانه جدا کنید.

بازرسی با check و تمرین restore

خرابی خاموش داده تا روز بازیابی دیده نمی‌شود. بخش بررسی یکپارچگی مستندات توضیح می‌دهد که check ساده packها را نمی‌خواند و برای آن --read-data-subset لازم است:

restic check --read-data-subset=10%

read 10.0% of packfiles
no errors were found

restic restore latest --target /tmp/restore-test

دستور restore مسیر کامل فایل‌ها را زیر پوشه مقصد می‌سازد؛ داده در /tmp/restore-test/tmp/lab2 برگشت.

سرور قبلی دیگر بالا نمی‌آید، روی ماشین تازه restic نصب شده و فایل رمز از جای امنش برگشته؛ اولین فرمان، restic snapshots است.

جمع‌بندی؛ بکاپ با restic یعنی مراقبت از رمز و کلیدها. رمز را با key add دو جا داشته باشید، کلیدها را در فایل محیطی 600 بگذارید و تایمر را با پوشه کش اجرا کنید. برای حذف نشدن نسخه‌ها به دست مهاجم، مقصد append-only بگیرید و forget را از کلاینت دیگری بزنید. سیاست نگهداری را اول با --dry-run ببینید و restore را هر ماه روی ماشین دیگری تمرین کنید تا روز خرابی، مسیر برگشت آشنا باشد.

رمز مخزن restic شما الان کجاست: مدیر رمز، کاغذی در کشوی قفل‌دار، یا سرور دوم؟ خود رمز را هیچ‌جا نفرستید؛ نوع جا کافی است.

• ساخت مخزن: Preparing a new repository
• بررسی یکپارچگی: Working with repositories
• حذف اسنپ‌شات: Removing backup snapshots
• مدل تهدید restic: References
• مخزن رسمی rest-server: restic/rest-server