Duplicati: бэкап в облако с шифрованием и расписанием

Duplicati поддерживает широкий набор целевых хранилищ:

• S3-совместимые — Amazon S3, MinIO, Wasabi, Backblaze B2
• Облачные диски — Google Drive, OneDrive, Dropbox
• Протоколы — FTP, SFTP, WebDAV, OpenStack Swift
• Локальные — сетевые папки SMB/CIFS, USB-диски

Для корпоративных сценариев рекомендуется S3-совместимое хранилище (MinIO или Wasabi) — это даёт предсказуемую стоимость, API-совместимость и контроль над данными.

Для установки на Debian-подобных системах используется официальный deb-пакет:

# Установка зависимостей
sudo apt update
sudo apt install -y mono-runtime libmono-system-net-http4.0-cil libmono-microsoft-csharp4.0-cil

# Скачивание последней версии
wget https://updates.duplicati.com/beta/duplicati_2.0.8.1-1_all.deb

# Установка
sudo dpkg -i duplicati_2.0.8.1-1_all.deb
sudo apt install -f

# Запуск как systemd-сервис
sudo systemctl enable duplicati
sudo systemctl start duplicati

После запуска интерфейс доступен по адресу http://localhost:8200. Для удалённого доступа отредактируйте файл /etc/default/duplicati и добавьте параметр --webservice-interface=any.

На Windows Server скачайте MSI-установщик с официального сайта и запустите его. При установке выберите опцию «Install as Windows Service» — это обеспечит автозапуск при перезагрузке сервера:

REM Установка через командную строку (silent)
msiexec /i Duplicati-2.0.8.1.msi /quiet /norestart INSTALLFOLDER="C:\Program Files\Duplicati 2"

REM Проверка службы
sc query DuplicatiService

REM Если служба не запустилась
net start DuplicatiService

В корпоративной среде рекомендуется установить пароль на веб-интерфейс через параметры запуска службы: --webservice-password=ВашПароль.

В веб-интерфейсе Duplicati нажмите «Add backup» и настройте параметры:

1. General — задайте имя задания и пароль шифрования (запишите его — без пароля восстановить данные невозможно)
2. Destination — выберите «S3 Compatible», укажите сервер MinIO, Access Key и Secret Key
3. Source Data — укажите папки для бэкапа, настройте фильтры исключений
4. Schedule — задайте расписание (например, ежедневно в 02:00)
5. Options — настройте retention policy

Параметры хранилища MinIO:

Server: minio.example.com:9000
Bucket: server-backups
Region: us-east-1
Storage class: (пусто)
Use SSL: Да (если настроен TLS)

Для автоматизации и массового деплоя удобнее использовать CLI-интерфейс:

# Создание задания бэкапа через CLI
duplicati-cli backup \
  "s3://minio.example.com:9000/server-backups?s3-server-name=minio.example.com" \
  /etc /var/www /home \
  --passphrase="SecureBackupKey2024!" \
  --retention-policy="1W:1D,4W:1W,12M:1M" \
  --s3-ext-accessid="minioadmin" \
  --s3-ext-secretkey="minioadminpassword" \
  --blocksize=1MB \
  --dblock-size=50MB \
  --exclude="*.tmp" \
  --exclude="*.log" \
  --exclude="/var/cache/*"

# Проверка целостности последнего бэкапа
duplicati-cli test \
  "s3://minio.example.com:9000/server-backups" \
  --passphrase="SecureBackupKey2024!" \
  --s3-ext-accessid="minioadmin" \
  --s3-ext-secretkey="minioadminpassword" \
  all

Параметр --retention-policy задаёт политику хранения: ежедневные бэкапы за последнюю неделю, еженедельные за 4 недели, ежемесячные за 12 месяцев. Параметр --dblock-size определяет размер архивных томов — для медленных каналов рекомендуется 50 МБ.

Помимо шифрования, рекомендуется реализовать следующие меры:

• Отдельный S3-ключ — создайте IAM-пользователя с минимальными правами (только PutObject/GetObject/DeleteObject на конкретный бакет)
• Versioning на бакете — включите версионирование S3 для защиты от случайного удаления
• Object Lock — для защиты от ransomware включите WORM-режим (Write Once Read Many)

Пример IAM-политики для MinIO:

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "s3:PutObject",
      "s3:GetObject",
      "s3:DeleteObject",
      "s3:ListBucket"
    ],
    "Resource": [
      "arn:aws:s3:::server-backups",
      "arn:aws:s3:::server-backups/*"
    ]
  }]
}

Для разных типов данных рекомендуются разные стратегии:

Формат retention policy: период_хранения:интервал_между_бэкапами. Например, 1W:1D означает «за последнюю неделю хранить по одной копии в день».

Duplicati поддерживает отправку уведомлений о результатах бэкапа по email и через HTTP-вебхуки. Для настройки email-уведомлений добавьте параметры:

--send-mail-to=admin@example.com
--send-mail-from=duplicati@example.com
--send-mail-url=smtp://mail.example.com:587
--send-mail-username=duplicati@example.com
--send-mail-password=MailPassword123
--send-mail-level=Warning,Error
--send-mail-subject=Duplicati %OPERATIONNAME% - %PARSEDRESULT%

Для интеграции с системами мониторинга (Zabbix, Prometheus) используйте HTTP-вебхук: --send-http-url=http://monitoring.example.com/api/duplicati. Тело POST-запроса содержит JSON с результатами задания.

Для восстановления конкретной директории на определённую дату используйте команду restore:

# Восстановление всех файлов из последнего бэкапа
duplicati-cli restore \
  "s3://minio.example.com:9000/server-backups" \
  --passphrase="SecureBackupKey2024!" \
  --s3-ext-accessid="minioadmin" \
  --s3-ext-secretkey="minioadminpassword" \
  --restore-path=/tmp/restored/

# Восстановление конкретного файла на конкретную дату
duplicati-cli restore \
  "s3://minio.example.com:9000/server-backups" \
  --time="2024-01-15T02:00:00" \
  --passphrase="SecureBackupKey2024!" \
  --restore-path=/tmp/restored/ \
  "/etc/nginx/nginx.conf"

# Список доступных версий бэкапа
duplicati-cli list \
  "s3://minio.example.com:9000/server-backups" \
  --passphrase="SecureBackupKey2024!"

При восстановлении Duplicati скачивает только нужные блоки данных, что значительно ускоряет процесс по сравнению с восстановлением полного архива.

Регулярная проверка целостности — обязательная практика. Настройте периодический запуск команды verify через cron:

# /etc/cron.weekly/duplicati-verify
#!/bin/bash
duplicati-cli test \
  "s3://minio.example.com:9000/server-backups" \
  --passphrase="SecureBackupKey2024!" \
  --s3-ext-accessid="minioadmin" \
  --s3-ext-secretkey="minioadminpassword" \
  5% 2>&1 | mail -s "Duplicati Integrity Check" admin@example.com

Параметр 5% означает проверку случайных 5% от всех архивных томов — это даёт хороший баланс между надёжностью и нагрузкой на хранилище.

Наиболее частые проблемы и способы их устранения:

• «Backend connection timed out» — увеличьте таймаут: --http-operation-timeout=10m. Проверьте firewall и DNS.
• «Local database is broken» — пересоздайте локальную БД: duplicati-cli repair <URL>. Это не затронет бэкапы в хранилище.
• «Remote file listing mismatch» — выполните duplicati-cli repair <URL> --rebuild-missing-dblock-files.
• Медленные бэкапы — увеличьте --asynchronous-upload-limit=4 для параллельной загрузки.

Для интеграции с Prometheus установите exporter:

# docker-compose.yml для мониторинга
services:
  duplicati-exporter:
    image: ghcr.io/tynor88/duplicati-exporter:latest
    environment:
      DUPLICATI_URL: http://duplicati:8200
    ports:
      - "9750:9750"