69 lines
5.1 KiB
Markdown
69 lines
5.1 KiB
Markdown
# Бэкап серверов на rpi (fr1, ru1)
|
||
|
||
Внешняя площадка для VPS — домашняя малина. Схема «малина забирает, сервер шифрует»:
|
||
|
||
```mermaid
|
||
sequenceDiagram
|
||
participant R as rpi (таймер 02:15)
|
||
participant S as сервер (fr1 / ru1)
|
||
R->>S: ssh -i /etc/server-backup/id_ed25519 <профиль>
|
||
Note over S: forced command backup-export<br/>tar | zstd | age -r <ОТКРЫТЫЙ ключ>
|
||
S-->>R: stdout: шифротекст
|
||
S-->>R: stderr: "SHA256 <hex>" шифротекста
|
||
Note over R: сверяет sha256, кладёт<br/>/mnt/backup/servers/<host>/<профиль>/
|
||
```
|
||
|
||
- **Малина не может расшифровать то, что хранит.** Шифрует сервер открытым ключом age,
|
||
закрытый ключ только у владельца: Mac `~/.config/age/servers-backup.key` (+ резервная копия
|
||
вне малины). Взлом малины или промпт-инъекция агента Astra = утечка только шифротекста.
|
||
- **Сервер не получает доступа к малине** (в отличие от схемы «сервер пушит через обратный
|
||
туннель»): ключ малины на сервере умеет только запустить выгрузку (`restrict,command=…`).
|
||
- Целостность: sha256 шифротекста считает сервер, малина сверяет при приёме и раз в неделю
|
||
(`servers-backup verify`). Подмену/порчу внутри поймает и age при расшифровке (AEAD).
|
||
|
||
## Что входит
|
||
|
||
| Хост/профиль | Когда | Содержимое | Размер |
|
||
|---|---|---|---|
|
||
| ru1 daily | ежедневно | `/etc` целиком (OpenVPN, AWG, mtproxy, tproxy, iptables, юниты), `/opt` (MTProxy, xray), `/srv`, `/usr/local`, `~mik` (**easy-rsa — CA OpenVPN**, клиентские .ovpn, wireguard, gost+LE, smart-routing), `/root`, crontab | ~17 МБ |
|
||
| fr1 daily | ежедневно | `/etc` целиком (AWG-ключи, nginx, letsencrypt, tg-notify…), `/srv/gitea` + согласованный снимок `gitea.db` (`snap/gitea.db`, через sqlite `.backup`), `/usr/local`, `~rus` (monitoring с секретами, bin, MyVault, .ssh), `/root`, crontab | ~2.1 ГБ |
|
||
| fr1 weekly | вс | docker-тома `claude-channels_claude-home` (⚠️ ключи Astra к хостам), grafana, alertmanager, pushgateway; `~tgclaude` (imgbot-data, imgbot, боты) | ~10 ГБ |
|
||
|
||
Не входит сознательно: том Prometheus (метрики, 7.9 ГБ, потеря не критична), `~rus/backups`
|
||
и `~tgclaude/backups` (разовые архивы — скопировать один раз отдельно), спящий openclaw,
|
||
кэши `.claude`/`.cache`, сборки (`badvpn`, `telemt-build`).
|
||
|
||
Хранение: `daily` — 14, `weekly` — 8, `monthly` — 12 (хардлинк первого daily месяца).
|
||
|
||
## Файлы
|
||
|
||
- `fr1-backup-export` → fr1 `~rus/bin/backup-export` (читает root-файлы через `docker run -v /:/host:ro`:
|
||
sudo на fr1 по паролю, а rus в группе docker). `age` — статический бинарник `~rus/bin/age`.
|
||
- `ru1-backup-export` → ru1 `/usr/local/sbin/backup-export` (root, 750), forced command
|
||
`sudo -n …` у `mik` (у него sudo NOPASSWD). `age` — `/usr/local/bin/age`.
|
||
- `rpi/servers-backup`, `rpi/servers-backup.{service,timer}` → rpi `/usr/local/bin`, `/etc/systemd/system`.
|
||
Ключ `/etc/server-backup/id_ed25519` (root 600), host keys серверов закреплены в
|
||
`/etc/server-backup/known_hosts`. Итог прогона → метрики `backup_*{job="backup_servers"}`,
|
||
алерт `BackupStale` (>26 ч) и `BackupFailed`.
|
||
|
||
## Восстановление
|
||
|
||
Нужен закрытый ключ (на Mac). Архив можно расшифровывать потоком, не храня открытым на диске:
|
||
|
||
```bash
|
||
# список файлов
|
||
ssh rpi 'sudo sh -c "cat /mnt/backup/servers/ru1/daily/<файл>.age"' \
|
||
| age -d -i ~/.config/age/servers-backup.key | zstd -dq | tar -tvf -
|
||
|
||
# достать один файл/каталог (например CA OpenVPN)
|
||
ssh rpi 'sudo sh -c "cat /mnt/backup/servers/ru1/daily/<файл>.age"' \
|
||
| age -d -i ~/.config/age/servers-backup.key | zstd -dq | tar -xvf - home/mik/easy-rsa
|
||
|
||
# fr1: пути в архиве с префиксом host/ (tar шёл из контейнера с / на /host):
|
||
# репозитории — host/srv/gitea/data/git/repositories/…, БД gitea — snap/gitea.db
|
||
# (живой host/srv/gitea/data/gitea.db исключён — он был бы рваной копией)
|
||
```
|
||
|
||
⚠️ **Потеря закрытого ключа = все бэкапы бесполезны.** Минимум две копии в разных местах,
|
||
и пробное восстановление раз в квартал.
|