【备份系列 01】VPS 数据别裸奔：3-2-1 备份实战（快照+restic+rclone）2026

你花几十块买了台 VPS 跑博客、跑脚本、跑小业务，数据全在一个虚拟盘上。某天厂商一封邮件说"账户异常已停用"，或者手滑一条 rm -rf 把网站目录清空，或者更刺激的——中了勒索软件。这时候你才想起从没备份。别笑，这是绝大多数个人 VPS 用户的真实状态。这篇用行业公认的 3-2-1 原则，给你一套能真正恢复的备份方案，而不是"有一份文件叫 backup 但永远没验证过能不能用"。

延伸阅读

更多相关攻略推荐：【购买指南 01】新手如何选购第一台 VPS：配置/线路/支付/退款、【VPS 网络极客与负载均衡 01】从域名到 IP：DNS 解析全过、刚买的 VPS 怎么连上去？SSH 新手教程（Windows / M、2026 决策指南：本地模型 vs 云 API 成本对比——你的 V、【VPS 硬件选型指南 (存储 篇) 03】主流商家磁盘实情横向盘点。

3-2-1 到底是什么，为什么快照不算备份

3-2-1 是备份界的黄金标准，一句话：

• 3 份数据副本：生产数据本身 + 2 份备份；
• 2 种不同存储介质：比如本地 NVMe 加远程对象存储，别都放同一块盘；
• 1 份异地/离线副本：放在不同数据中心甚至不同云厂商，抗机房级灾难和账号封禁。

它的威力在于同时扛住四类事故：磁盘故障、账号被封、机房级灾难、勒索软件加密。接下来是全文最核心的一句话——快照不等于备份。

快照是 COW（写时复制）的块级时间点镜像，看起来像备份，但它和生产盘在同一存储、同一账号、同一 region。后果很现实：删实例经常连快照一起删；账号被封，快照跟着没；机房故障，快照和生产盘一起完蛋。判据特别朴素："如果你的服务商账号今天下午消失了，你还能恢复什么？"能恢复的才叫备份，随账号一起蒸发的那叫回滚工具。所以快照是"升级前秒级回滚"的好东西，但绝不能替代异地备份。

三层落地框架：快照 + restic + rclone

把 3-2-1 拆成三层，每一层干不同的活：

• Layer 1 厂商快照：秒级回滚，适合"刚改坏配置想退回五分钟前"。快恢复，但非异地、非 immutable；
• Layer 2 restic 版本化加密备份：把数据做块级去重、AES‑256 加密、保留多个历史版本，存到本地第二块存储或第二台机；
• Layer 3 rclone 推异地对象存储：把 restic 仓库同步到 B2/Wasabi/R2 等对象存储，这才是真异地；
• Layer 4 immutable（可选抗勒索）：对象存储开对象锁（Object Lock）/版本控制，让备份不可被篡改或删除。

这四层是互补关系，不是谁替代谁。快照管速度，备份管生存。

厂商快照与自动备份政策（详见系列第 3 篇）

各家厂商的快照计费、自动备份策略与保留天数差异很大而且经常变动——DigitalOcean 按 Droplet 月费的 20% 收自动备份、Vultr 按容量计费、CloudCone 按服务器月费 30% 收每日自动备份、RackNerd 大多无原生快照、Contabo 给 1 个免费快照。限于篇幅这里不逐项展开，完整对比表见本系列第 3 篇《VPS 备份策略：厂商快照政策对比与自建异地容灾》。但有一条对任何厂商都成立：快照与实例同存储、同账号、同 region，删实例常连带删快照，绝不能替代异地备份。

restic：加密去重版本化，VPS 异地备份的主角

为什么是 restic 而不是老牌 rsync？对比一下就清楚：

• rsync：只同步文件、不去重、不内置加密（要加密得配 rclone crypt），好处是简单；
• restic：客户端 AES‑256 加密、块级去重（相同文件几乎零增量）、原生直连 B2/S3 等对象存储、单一二进制跨平台、支持 forget/prune 保留策略；
• borg：压缩更强，但得经 SSH 到另一台 Linux，不能直接写云存储（需配 rclone）；
• duplicati：历史上有损坏 bug，口碑一般，不推荐。

结论：restic + rclone 是 VPS 异地备份最主流组合。restic 负责做加密去重仓库，rclone 负责把仓库推到异地。

一套可复刻的实战脚本：

• 初始化仓库：restic -r b2:my-bucket:repo init；
• 备份目录：restic backup /data；
• 保留策略并清理：restic forget --keep-daily 7 --keep-weekly 4 --keep-monthly 6 --prune（保留 7 天每日、4 周每周、6 月每月，旧版本自动剪掉）；
• 推异地：rclone sync -P /backup/repo remote:backups/，担心影响业务可加 rclone --bwlimit 1M 限速。

数据库必须 dump 再备，别直接拷运行文件

这是新手最容易翻车的点：直接复制运行中的 MySQL/PostgreSQL 目录，恢复出来是崩溃不一致的。正确姿势是先导出：

• MySQL/MariaDB（仅 InnoDB）：mysqldump --single-transaction > dump.sql；
• PostgreSQL：pg_dumpall 或 pg_dump -Fc 导出；
• Docker 状态在 named volume：要么先 dump，要么短暂 docker compose down 再备，否则卷里可能是半截状态。

然后让 restic 去备这个 dump 文件，而不是裸卷。一句口诀：数据库先 dump，再进备份流程。

异地对象存储怎么选：2026 价格落地

第三层要落到具体对象存储，2026 年实测价格如下（以各官网为准）：

• Backblaze B2：约 $0.00695/GB·月（约 $6.95/TB·月），前 10GB 免费，上传免费，下载 $0.01/GB 但每月免费出口额度 = 前月平均存储量的 3 倍，通常恢复不花钱。restic 原生后端首选；
• Wasabi：$6.99/TB·月（预留 1 年约 $5.99），无出口费，但有 90 天最短存储期（删早了也按 90 天计费），且 1TB 起；
• Cloudflare R2：$0.015/GB·月（Standard，$15/TB·月），出口永远免费，前 10GB 存储 + 请求免费，适合恢复频繁/下载不可预测的场景；
• Storj：约 $4/TB·月，去中心化、S3 兼容，三者中最便宜；
• Hetzner Storage Box：约 €3.80/TB·月，出口免费，SFTP/REST 友好，适合 Hetzner VPS 用户；
• AWS S3 Glacier：约 $0.004–0.036/GB·月（Deep Archive 最便宜），存储极廉但取回慢且按 GB 收费，适合冷归档。

一个 85GB 的备份池，年存储成本大约 US$4–24，几乎不是财务决策点。真正拦住大家不备份的，是"多开账号 + 生成密钥 + 配脚本"那半小时。所以别纠结价格，先动起来。

恢复演练：没恢复过的备份只是希望

这是全篇最该划线的一句：没恢复过的备份只是希望。备份静默失败、dump 是空文件、数据早已过期、恢复超时 RTO 爆表——这些都是真实事故模式。所以必须做恢复演练。

先认识两个指标：

• RPO（恢复点目标）：能接受丢多少数据。日备 = 最多丢 24 小时，时备 = 最多丢 1 小时；
• RTO（恢复时间目标）：能接受停多久。快照回滚 15–30 分钟，文件级恢复 1–4 小时。

至少每季度做一次真实恢复并计时，校准你的 RPO/RTO，写出 runbook（恢复步骤文档）。restic 验证命令：

• restic check 检查仓库完整性；
• restic check --read-data-subset=5% 抽样读数据验证；
• restic restore latest --target /tmp/restore-test 恢复到临时目录，确认文件真的能出来。

还有个方法论叫"Restore-First"：先写 restore.sh 再写备份脚本。备份不是一堆文件，而是一个可测的、带耗时的流程。验证 dump 非空、数据是最新的（查最新行时间戳），而不是仅仅"文件存在"。

自动化与监控：别让备份静默失败

手动备份坚持不了三天，一定要自动化：

• 用 cron 或 systemd timer（推荐 Persistent=true，错过开机补跑）每天跑备份；
• 配合 Healthchecks.io 或 Uptime Kuma 做死信开关——备份脚本跑完 ping 一下，要是到点没 ping，说明静默失败了，立刻告警；
• 不可变 + 离线副本抗勒索：restic 支持 append-only 仓库，对象存储开 Versioning + Object Lock 保留旧版本，至少留一份仅备份窗口连线的离线副本。

灾难恢复演练还要排剧本：季度演练，先恢复数据层再恢复应用层，按 T-0 计时得真实 RTO/RPO；注意 DNS 的 TTL 如果比 RTO 长，会拖慢切换。演练后 48 小时内出报告，写清实际 RTO/RPO 对比目标、可改进项和负责人。

💡 延伸阅读：关于架构与基础设施的更多深潜指南，请前往 VPS 主题导读中心 (Hub) 获取全盘策略。