3-2-1 záloha doma: telefon, PC i NAS bez placeného cloudu

Pravidlo 3-2-1 stojí na třech bodech: tři kopie dat (originál a dvě zálohy), na dvou různých typech média a s jednou kopií fyzicky mimo domov. Rozšířená verze 3-2-1-1-0 přidává jednu kopii offline nebo neměnnou (immutable) a nulu jako počet chyb při ověřené obnově. Domácí sestava telefon + PC + NAS se dá postavit tak, aby splnila celý řetěz bez jediného koruny za cloudové předplatné.

Telefon: data zamíří rovnou na NAS

U Androidu je nejjednodušší cesta Syncthing. Je to open-source peer-to-peer synchronizace bez serveru uprostřed, která umí běžet na pozadí a synchronizovat jen přes Wi-Fi a při nabíjení. Pro fotky a videa se hodí Immich – self-hostovaná náhrada Google Photos, která umí automatický upload z telefonu a běží v Dockeru na NAS. Kdo chce jen skriptované kopírování přes SFTP nebo SMB, použije FolderSync.

iPhone má pozadí synchronizace výrazně omezené, takže v praxi funguje kombinace dvou věcí. Zaprvé aplikace Nextcloud s automatickým uploadem fotek (nahrává při otevření aplikace na Wi-Fi). Zadruhé lokální šifrovaná záloha přes Finder do počítače – ta se pak veze spolu se zálohou PC. Kontakty, SMS a nastavení systémů se zálohují do Google účtu nebo iCloud zdarma, ale fotky a videa tvoří řádově větší objem a ty je lepší držet doma.

PC: image celého systému i soubory

Na Windows je nejrobustnější volbou Veeam Agent for Microsoft Windows Free. Umí image celého disku (obnova do holého počítače z bootovacího USB) i zálohu jednotlivých složek, a to na síťový share na NAS. Bootovací médium si vytvořte hned při instalaci, ne až ve chvíli, kdy disk odejde.

Multiplatformně fungují restic, Borg, Kopia a Duplicati. Restic je jediný binární soubor, šifruje AES-256 a umí deduplikaci i přírůstkové snapshoty. Záloha na NAS přes SFTP vypadá takto:

restic -r sftp:uzivatel@nas:/volume1/restic backup ~/Dokumenty ~/Fotky

Borg dělá totéž s deduplikací na bloku a obvykle rychleji na velkých datech, ovládá se přes wrapper borgmatic a plánuje přes systemd timer:

borg create --stats ::{now} ~/Dokumenty

Na macOS je základ Time Machine na SMB share na NAS (Synology i QNAP umí sdílenou složku určenou pro Time Machine). Pro offsite kopii se ale hodí restic nebo Borg – Time Machine se na vzdálený cíl mimo LAN příliš nehodí.

NAS jako rozbočovač záloh

Synology nabízí Hyper Backup (záloha NASu na externí disk, jiný NAS, rsync nebo S3), Active Backup for Business (zdarma, zálohuje Windows PC a umí obnovu celého systému) a Snapshot Replication (snapshoty na btrfs). QNAP má obdobu v Hybrid Backup Sync a snapshotech. Na TrueNAS je základ ZFS – snapshoty v kombinaci s replikačními úlohami na druhý ZFS systém.

Rozumný plán vypadá takto: snapshoty každou hodinu s retencí 24 hodinových a 7 denních, plná záloha PC jednou denně ve 2:00, záloha NASu na externí disk jednou týdně. Retence ve stylu GFS (7 denních, 4 týdenních, 12 měsíčních) udrží historii i proti tichému poškození dat, které se projeví až po měsících.

Offsite bez cloudu

Nejlevnější varianta je rotační externí USB disk. Pořiďte dva stejné disky (například 4TB 2,5" do USB) a střídejte je: jeden je doma připojený, druhý leží u rodičů, v práci nebo v trezoru. Jednou za týden nebo měsíc je prohodíte. Ransomware ani přepětí se k odpojenému disku nedostane.

Druhá možnost je NAS-to-NAS. Postavte tunel přes WireGuard nebo Tailscale, propojte Hyper Backup s druhým NASem u kamaráda a nastavte šifrování zálohy heslem. Data pak tečou mimo domov pořád, ne jen při ručním přenosu disku.

Ochrana proti ransomwaru: neměnné kopie

Klíčové je, aby útočník nemohl zálohu přepsat ani smazat. Tři konkrétní mechanismy: WORM složka na Synology (Write Once, Read Many) nastaví soubory jako neměnné na zvolenou dobu; restic server umí režim --append-only, kdy klient smí přidávat snapshoty, ale ne mazat; Borg má append-only mód na serveru. Ke všemu doplňte snapshoty, které se drží mimo dosah běžícího systému – ransomware šifruje to, co vidí přes síťový share.

Ověřování: nula znamená nula chyb

Záloha, kterou nikdo nezkusil obnovit, není záloha. Restic má příkaz restic check, Borg borg check, oba ověřují integritu repozitáře. Synology umí Data Scrubbing, btrfs scrub řeší bit rot na úrovni bloků. Praktický režim: jednou měsíčně obnovte jeden náhodný soubor, jednou ročně zkuste obnovu celého PC z bootovacího média. S.M.A.R.T. testy disků spouštějte čtvrtletně.

Heslo k šifrovanému repozitáři (restic, Borg, Duplicati, Hyper Backup) si uložte mimo zálohovaný stroj – vytištěné v trezoru nebo v password manageru. Bez něj jsou data v repozitáři nečitelná i pro vás.

Foto: Jakub Zerdzicki / Pexels