Zálohy VPS: co zálohujeme my a jak si zálohovat sami

Zálohy VPS spravujeme my a v zákaznické zóně z nich obnovíte celý disk. Pro jednotlivé soubory, databáze a kopii mimo naši infrastrukturu si nastavíte vlastní zálohy. Ukážeme obojí.

Automatické zálohy StormHost#

Zálohy VPS vytváříme automaticky. Najdete je v zákaznické zóně: Moje služby › vaše VPS › záložka Zálohy.

• Seznam ukazuje u každé zálohy Vytvořeno (datum a čas), Velikost a Úložiště, na kterém je uložená.
• Ruční vytvoření zálohy ze zákaznické zóny není možné. Před riskantním zásahem (upgrade systému, velká změna konfigurace) si proto udělejte vlastní zálohu podle zbytku návodu.
• Pokud se zobrazí „Jedno ze zálohovacích úložišť teď neodpovídá — seznam nemusí být úplný“, část záloh je dočasně nedostupná. Zkuste to později, nebo nám napište.
• Člen sdílené služby vidí zálohy jen s oprávněním Zálohy a obnova.

Obnova celé VPS#

1. V záložce Zálohy najděte zálohu podle data ve sloupci Vytvořeno.
2. Klikněte na Obnovit.
3. Přečtěte si upozornění a potvrďte ho přejetím posuvníku („Přejeďte pro obnovení“).
4. Počkejte na dokončení. Během obnovy je VPS vypnutá a zamčená, konzole se nepřipojí.
5. Po obnově VPS spusťte (pokud se nespustí sama) a zkontrolujte služby.

Celá obnova, nebo jednotlivé soubory?#

Pravidlo 3-⁠2-⁠1#

Osvědčené pravidlo pro zálohy: 3 kopie dat, na 2 různých místech nebo typech úložiště, z toho 1 mimo hlavní infrastrukturu.

Pro VPS to znamená:

1. Data na VPS (původní kopie).
2. Naše automatické zálohy (druhá kopie, mimo vaši VPS).
3. Vaše vlastní záloha jinde: domácí NAS, jiný server, cloudové úložiště (třetí kopie, mimo naši infrastrukturu).

Třetí kopie vás ochrání i v situacích, kdy nepomůže obnova v zákaznické zóně: potřebujete starší stav, jednotlivý soubor, nebo se chcete přestěhovat.

Co zálohovat#

Zálohovací skript#

Skript udělá každý den export všech databází a archiv důležitých složek a smaže zálohy starší než 7 dní.

1. Vytvořte soubor skriptu:

   nano /usr/local/sbin/zaloha.sh

2. Vložte obsah:

   #!/bin/bash
   set -euo pipefail
   umask 077
   
   CIL=/var/backups/vps
   DNES=$(date +%F)
   UCHOVAT_DNI=7
   
   mkdir -p "$CIL"
   
   # 1) databáze (jen pokud je MariaDB/MySQL nainstalovaná)
   if command -v mariadb-dump >/dev/null 2>&1; then
     mariadb-dump --single-transaction --routines --events --all-databases | gzip > "$CIL/db-$DNES.sql.gz"
   fi
   
   # 2) soubory
   tar -czf "$CIL/soubory-$DNES.tar.gz" --ignore-failed-read /etc /home /root /var/www /opt /srv || [ $? -eq 1 ]
   
   # 3) smazání starých záloh
   find "$CIL" -type f -name '*.gz' -mtime +"$UCHOVAT_DNI" -delete
   
   echo "$(date '+%F %T') záloha hotová"

3. Uložte (Ctrl+O, Enter), zavřete (Ctrl+X) a povolte spuštění:

   chmod 700 /usr/local/sbin/zaloha.sh

   • chmod 700 – skript smí číst a spouštět jen root.

Co skript dělá:

4. Vyzkoušejte skript ručně:

   /usr/local/sbin/zaloha.sh
   ls -lh /var/backups/vps

   Uvidíte záloha hotová a soubory db-….sql.gz a soubory-….tar.gz. Hláška tar: Removing leading '/' from member names je normální: cesty se do archivu ukládají bez úvodního lomítka.

Automatické spouštění cronem#

1. Ujistěte se, že je nainstalovaný cron (když už je, nic se nestane):

   apt -y install cron

2. Otevřete crontab roota:

   crontab -e

   Při prvním spuštění zvolte editor nano.

3. Na konec přidejte řádek:

   30 3 * * * /usr/local/sbin/zaloha.sh >> /var/log/zaloha.log 2>&1

4. Uložte a zavřete editor. Uvidíte crontab: installing new crontab.

Řádek crontabu má pět časových polí a příkaz:

Další příklady časů:

Čas se řídí časovým pásmem VPS (timedatectl). Zálohy plánujte na dobu, kdy je na serveru nejmenší provoz.

Přenos mimo VPS#

Příprava SSH přístupu k cílovému serveru#

Zálohy pošlete na jiný server (domácí NAS s SSH, jiná VPS). V ukázkách má cílový server IP adresu 198.51.100.25, dosaďte místo ní adresu svého serveru.

Na cílovém serveru (Ubuntu nebo Debian, přihlášení jako root) připravte uživatele a složku, do které smí zapisovat:

adduser zaloha
mkdir -p /srv/zalohy
chown zaloha:zaloha /srv/zalohy
chmod 700 /srv/zalohy

• adduser zaloha – vytvoří uživatele zaloha. Zeptá se na heslo (budete ho potřebovat v kroku 2 níže) a na nepovinné údaje, které potvrdíte klávesou Enter.
• mkdir -p /srv/zalohy – složka pro zálohy.
• chown zaloha:zaloha – složka bude patřit uživateli zaloha, aby do ní mohl zapisovat. Bez toho rsync i restic skončí chybou Permission denied.
• chmod 700 – do složky nesmí nikdo jiný.

Na cílovém serveru musí být povolené přihlášení heslem aspoň do doby, než nahrajete klíč (krok 2). Na NAS postupujte podle jeho návodu (uživatel, sdílená složka, zapnuté SSH).

Pak na zálohované VPS:

1. Vytvořte SSH klíč bez hesla, který použije jen zálohování:

   ssh-keygen -t ed25519 -f /root/.ssh/zaloha -N "" -C "zaloha-vps"

   • -t ed25519 – moderní typ klíče.
   • -f /root/.ssh/zaloha – kam klíč uložit (vznikne zaloha a zaloha.pub).
   • -N "" – bez hesla ke klíči, aby ho cron mohl použít bez vás.
   • -C "zaloha-vps" – popisek klíče.

2. Nahrajte veřejný klíč na cílový server (zadáte heslo uživatele zaloha na cílovém serveru):

   ssh-copy-id -i /root/.ssh/zaloha.pub [email protected]

   Při prvním spojení se SSH zeptá Are you sure you want to continue connecting (yes/no/[fingerprint])?. Napište yes: otisk cílového serveru se uloží do /root/.ssh/known_hosts a cron se pak už ptát nebude.

3. Vytvořte zkratku pro připojení. Otevřete nano /root/.ssh/config a přidejte:

   Host zalohy
       HostName 198.51.100.25
       User zaloha
       IdentityFile /root/.ssh/zaloha

   • Host zalohy – zkratka, kterou pak použijete místo adresy.
   • HostName – IP adresa nebo doména cílového serveru.
   • User – uživatel na cílovém serveru.
   • IdentityFile – klíč pro přihlášení.

4. Vyzkoušejte připojení: ssh zalohy se musí přihlásit bez hesla. Odhlaste se příkazem exit.

Postup práce s klíči podrobně: SSH klíč.

rsync#

rsync kopíruje jen změněné soubory, takže je rychlý i u velkých záloh. Musí být nainstalovaný na obou stranách (apt -y install rsync).

rsync -az /var/backups/vps/ zalohy:/srv/zalohy/vps1/

• -a – archivní režim: kopíruje rekurzivně a zachovává práva, časy a odkazy.
• -z – komprimuje data během přenosu.
• /var/backups/vps/ – co kopírovat. Lomítko na konci znamená „obsah složky“, ne složku samotnou.
• zalohy:/srv/zalohy/vps1/ – cíl: zkratka ze ~/.ssh/config a složka na cílovém serveru.

Přenos zařaďte do skriptu zaloha.sh jako poslední řádek, nebo do crontabu hodinu po záloze:

30 4 * * * rsync -az /var/backups/vps/ zalohy:/srv/zalohy/vps1/ >> /var/log/zaloha.log 2>&1

restic (pro pokročilé)#

restic ukládá zálohy šifrovaně a s deduplikací: opakující se data se uloží jen jednou, takže můžete držet desítky denních verzí s malými nároky na místo. Umí zálohovat na SFTP server i do cloudových úložišť.

1. Nainstalujte restic: apt -y install restic.

2. Vytvořte soubor s heslem repozitáře a omezte jeho práva:

   nano /root/.restic-heslo
   chmod 600 /root/.restic-heslo

   Do souboru vložte dlouhé náhodné heslo (generátor hesel).

3. Založte repozitář na cílovém serveru:

   restic -r sftp:zalohy:/srv/zalohy/restic-vps1 --password-file /root/.restic-heslo init

   • -r sftp:zalohy:/srv/zalohy/restic-vps1 – repozitář přes SFTP; zalohy je zkratka ze ~/.ssh/config.
   • --password-file – soubor s heslem, aby se restic neptal (nutné pro cron).
   • init – vytvoří nový prázdný repozitář. Uvidíte created restic repository ….

4. Zálohujte (příkaz můžete dát do skriptu místo archivu tar; export databáze ponechte):

   restic -r sftp:zalohy:/srv/zalohy/restic-vps1 --password-file /root/.restic-heslo backup /etc /home /root /var/www /opt /srv /var/backups/vps

5. Mažte staré verze podle pravidla:

   restic -r sftp:zalohy:/srv/zalohy/restic-vps1 --password-file /root/.restic-heslo forget --keep-daily 7 --keep-weekly 4 --keep-monthly 6 --prune

   • forget – odebere verze (snapshoty), které pravidlo nezachová.
   • --keep-daily 7 – ponechá poslední verzi z každého ze 7 posledních dní se zálohou.
   • --keep-weekly 4, --keep-monthly 6 – navíc jednu verzi týdně za 4 týdny a měsíčně za 6 měsíců.
   • --prune – rovnou smaže data, na která už žádná verze neodkazuje (uvolní místo).

Užitečné příkazy:

Alternativou k resticu je BorgBackup (dokumentace (otevře se v novém okně)), funguje na podobném principu.

Test obnovy#

Záloha, kterou jste nikdy nezkusili obnovit, je jen naděje. Aspoň jednou za čas si ji vyzkoušejte:

1. Vypište obsah archivu: tar -tzf /var/backups/vps/soubory-2026-10-01.tar.gz | head.

2. Rozbalte jeden soubor do dočasné složky:

   mkdir -p /tmp/obnova
   tar -xzf /var/backups/vps/soubory-2026-10-01.tar.gz -C /tmp/obnova etc/nginx/nginx.conf

   • -x – rozbalit, -z – formát gzip, -f – ze souboru.
   • -C /tmp/obnova – kam rozbalit (nepřepíše se tak živý soubor).
   • etc/nginx/nginx.conf – co rozbalit (cesta bez úvodního lomítka).

3. Zkontrolujte export databáze: zcat /var/backups/vps/db-2026-10-01.sql.gz | head -n 20 musí ukázat začátek SQL exportu.

4. Úplný test (obnova databáze, spuštění aplikace) dělejte na jiné, testovací VPS, ne na ostré.

Ověření#

• Ráno po první noci: tail /var/log/zaloha.log obsahuje řádek záloha hotová.
• ls -lh /var/backups/vps ukazuje nové soubory s dnešním datem a rozumnou velikostí (ne 0 bajtů).
• Na cílovém serveru jsou stejné soubory (rsync), nebo restic snapshots ukazuje dnešní verzi.

Když něco nefunguje#

Cron skript nespustil#

Zkontrolujte, že běží cron a co zapsal do logu:

systemctl status cron
journalctl -u cron -n 50

Časté příčiny: v crontabu chybí celá cesta ke skriptu, skript nemá právo spuštění (chmod 700), nebo jste upravili crontab jiného uživatele než root (crontab -l ho vypíše).

mariadb-dump: Got error: 1045: "Access denied for user …"#

Skript neběží jako root, nebo databázový root používá heslo místo unix socketu. Spouštějte skript z crontabu roota. Pokud má root v databázi heslo, uložte ho do souboru /root/.my.cnf, odkud si ho mariadb-dump přečte sám:

[client]
user=root
password=<HESLO_ROOT_DATABAZE>

• [client] – skupina voleb pro všechny klientské programy MariaDB (mariadb, mariadb-dump).
• user, password – přihlašovací údaje. Za <HESLO_ROOT_DATABAZE> dosaďte heslo databázového uživatele root (bez špičatých závorek).

Soubor zabezpečte příkazem chmod 600 /root/.my.cnf, aby heslo nemohl číst nikdo jiný.

Záloha má 0 bajtů nebo je podezřele malá#

Skript skončil chybou uprostřed. Spusťte ho ručně a přečtěte si chybu. Díky set -euo pipefail se chyba exportu nepřejde tiše.

Permission denied (publickey) při rsync nebo restic#

Cílový server nepřijal klíč. Ověřte ssh zalohy. Pokud se ptá na heslo nebo selže, nahrajte klíč znovu (ssh-copy-id) a zkontrolujte, že IdentityFile v /root/.ssh/config ukazuje na správný soubor.

restic: Fatal: wrong password or no key found#

Heslo v souboru /root/.restic-heslo neodpovídá repozitáři. Zkontrolujte, že v souboru není navíc mezera nebo jiné heslo.

restic: Fatal: unable to open config file … Is there a repository at the following location?#

Repozitář na zadané cestě neexistuje (překlep v cestě, nebo jste nespustili init).

Disk se zaplňuje#

Zálohy se nemažou, nebo jsou příliš velké. Zkontrolujte, že běží krok find … -delete, snižte UCHOVAT_DNI a vynechte složky s velkými daty, které zálohujete jinak.

Další zdroje#

• restic: dokumentace (otevře se v novém okně)
• BorgBackup: dokumentace (otevře se v novém okně)
• rsync: manuálová stránka (otevře se v novém okně)
• crontab(5): formát crontabu (otevře se v novém okně)
• MariaDB: mariadb-dump (otevře se v novém okně)