备份

服务包含哪些内容

我们配置自动备份，让服务器损毁、被入侵或误删除不会演变成业务的损失。服务包含遵循 3-2-1 原则的策略、按计划自动生成的加密数据快照、把副本上传到云存储、版本保留策略，以及——必不可少的——恢复验证，而不只是创建副本。我们会梳理究竟哪些数据是关键的：数据库、用户文件、服务器配置——并把从零完整重建所需的一切都纳入副本。加密的配置方式确保，即便是存储空间的所有者，没有您的密钥也读不出内容。最终您得到的不是一句「备份在跑」的承诺，而是一套经过验证、能在几分钟内把服务重新拉起的流程。

它的本质是如何运作的

备份建立在增量快照之上：首次完整备份之后，系统只保存发生变化的数据块，因此每日备份占用空间小、速度快。去重会剔除快照之间重复的数据片段，加密则在您这一侧、上传到云之前完成，因此对外流出的已是不可读的字节流。每个快照都带版本，可以恢复到任意一个已保存的时间点，而不仅是最近的一个。3-2-1 原则规定了存储方案：三份数据副本，分布在两种不同介质上，其中一份存放在异地，这样火灾或托管商故障就不会把一切一次性抹掉。关键的一步是定期做恢复测试解包，因为一份从未真正恢复过的备份，不能算作备份。

备份文化的由来

有必要区分两种不同的机制。磁盘容错由加州大学伯克利分校的团队——戴维·帕特森、加思·吉布森和兰迪·卡茨——在 1988 年 6 月关于 RAID 的论文中提出；RAID 能防止磁盘损坏，但它不是备份，救不了误删除或勒索软件。真正意义上的复制工具则是数十年来的 rsync：安德鲁·特里杰尔和保罗·麦克拉斯于 1996 年 6 月 19 日发布了它的算法和工具，首次把「只传输文件中发生变化的部分」变成大众实践。至于可靠性的公式——3-2-1 原则——则由摄影师彼得·克罗格在一本关于数字存储的书中提出，凝结了保护不可替代档案的经验。正是从这三个理念——冗余、增量传输和分散存储——生长出我们所依托的现代备份文化。

为什么配置的精确性至关重要

备份是这样一个领域：错误总在最不合时宜的时刻暴露——数据已经丢了，而副本却发现是残缺或损坏的。经典的陷阱是备份年复一年地创建，恢复却从未验证过，等到故障那一刻才发现副本里没有数据库、或者加密密钥丢了。因此这项服务的工程价值不在于「把备份打开」，而在于一套可验证的流程：究竟备份什么、多久一次、备到哪里、保留多少版本、以及能多快把一切重新拉起。另有一道独立的防护——不可变副本，即便勒索软件拿到了服务器访问权也无法覆写它。我们配置并记录整个周期，并在实践中验证恢复，而不是想当然地认为它会奏效。

我们采用怎样的技术栈

主力工具是 restic：一套具备增量快照、去重和端到端加密的备份系统，能通过 S3 协议把副本存入云存储。部分任务采用 borg——一款采用类似模型的去重归档工具，而简单的文件同步则使用久经考验的 rsync。副本上传到兼容 S3 的对象存储（例如按量计费、不收出站流量费的云），并为每项任务配置独立的访问密钥。加密在客户端进行，因此副本内容即便对存储服务商也不可访问。整套技术栈开放且可迁移：恢复流程不依赖于任何特定供应商，连同密钥一起留在您手中。

关键工具是何时出现的

备份工具历经数十年逐步成形。磁盘冗余 RAID 的构想在 1988 年 6 月伯克利大学的论文中提出。长期作为增量传输标准的 rsync 工具于 1996 年 6 月 19 日发布。现代去重系统则更年轻：作为我们主力工具的 restic 由作者亚历山大·诺伊曼于 2015 年以 0.1.0 版本发布，borg 也在同一年从 Attic 项目中分离出来。这些日期表明，带去重的可靠加密备份是一门成熟但相对新近的工程实践，需要懂得如何针对具体基础设施来配置。我们使用最新版本，也了解每款工具的局限，而不是指望一个万能按钮。

为什么可以把这件事交给我们

我们团队在 IT 领域的经验累计超过 45 年，备份我们是在自身实践中做的：我们的生产数据以加密增量快照通过 restic 存入云存储，恢复流程也已演练成熟。我们以工程师的方式对待这项任务：确定关键数据、构建 3-2-1 方案、配置加密和保留策略，并且一定会先跑一遍恢复测试，才敢宣布备份可用。加密密钥和访问权限留在您手中——我们不会把您的数据扣押在我们自己的账户里。我们会诚实提醒您，在哪里省副本会带来真实风险、在哪里冗余是多余的。最终您得到的不是一行「备份已开启」，而是在故障、入侵或误操作之后几分钟内重新拉起服务的、经过验证的能力。