香港服务器备份实操指南
一 备份策略与频率
- 明确范围：优先保护数据库、网站文件与关键配置（如 Nginx/应用配置、证书、密钥）。
- 分层频率：
- 高频业务数据（如订单/用户数据）：建议每30–60分钟一次。
- 一般内容/配置：每日一次。
- 系统镜像/全量：每周或每月一次。
- 保留周期：至少7–30天；关键系统建议季度级归档。
- 存储架构：采用本地 + 异地/云端的多层备份，避免单点故障；云快照用于快速回滚，异地/云用于灾备。
- 备份类型：以全量 + 增量/差异组合，提高效率和可用性；重要变更前后可触发临时全量。
- 安全合规：对备份数据加密（如 AES-256）、压缩，并实施访问控制与异地存放；跨境业务关注隐私与合规要求。
二 常用备份方式与适用场景
| 方式 | 适用场景 | 优点 | 注意点 |
|---|
| 文件级备份 | 静态资源、网站目录 | 简单灵活、颗粒度细 | 需配合版本/增量策略 |
| 块级/镜像级备份 | 整机/磁盘/分区 | 一致性好、恢复快 | 占用空间大，注意快照管理 |
| 数据库备份 | MySQL、PostgreSQL 等 | 保障交易与结构化数据安全 | 采用全量+日志/增量，注意一致性 |
| 云快照/镜像 | 云服务器整机 | 快速回滚、操作简便 | 快照非长期归档，注意成本 |
| 远程镜像/异地复制 | 跨机房/跨区域容灾 | 高可用、容灾能力强 | 成本较高，网络质量要求高 |
| 文件同步/镜像（rsync/Rclone） | 目录同步、镜像到远端/云 | 增量高效、带宽友好 | 需处理权限、软链接与版本保留 |
三 Linux一键自动化示例
# 变量
WEB_DIR="/var/www/html"
DB_HOST="localhost"
DB_USER="backup"
DB_PASS="StrongPass!23"
BACKUP_DIR="/backup"
DATE=$(date +%F)
# 每日 02:00 打包网站
0 2 * * * tar -czf $BACKUP_DIR/www_$DATE.tar.gz -C $WEB_DIR .
# 每日 03:00 备份数据库（含创建库语句，单库示例）
0 3 * * * mysqldump -h$DB_HOST -u$DB_USER -p$DB_PASS --single-transaction --routines --triggers --databases your_db > $BACKUP_DIR/db_$DATE.sql
# 可选：加密并上传到云端（示例用 Rclone，需预先配置 remote）
0 4 * * * gpg --batch --yes --passphrase "$GPG_PASS" -c $BACKUP_DIR/db_$DATE.sql && \
rclone copy $BACKUP_DIR/db_$DATE.sql.gpg remote:backup/hk-server/ && \
rm -f $BACKUP_DIR/db_$DATE.sql.gpg
# 清理 7 天前备份
0 5 * * * find $BACKUP_DIR -name "*.tar.gz" -mtime +7 -delete
0 5 * * * find $BACKUP_DIR -name "*.sql*" -mtime +7 -delete
- 要点
- 数据库使用--single-transaction获取一致性快照（InnoDB）；MyISAM 可加--lock-all-tables。
- 备份文件按日期命名，并配置保留周期与自动清理。
- 敏感备份加密后再外传；密钥与备份分离存放。
- 建议将脚本输出重定向到日志文件并接入监控告警。
四 恢复与演练
- 文件级恢复：
- 解压覆盖：
tar -xzf /backup/www_2026-01-01.tar.gz -C /var/www/html - 数据库恢复：
- 解密并导入：
gpg --decrypt db_2026-01-01.sql.gpg | mysql -h$DB_HOST -u$DB_USER -p - 快照/镜像恢复：在云控制台选择恢复到该快照或从快照创建新实例，验证应用与数据一致性。
- 验证与演练：
- 定期做恢复演练（建议每季度一次），验证可用性与恢复时间目标（RTO）；
- 对关键业务做恢复点目标（RPO）评估，确保备份频率满足业务容忍度。
五 安全与运维要点
- 防勒索：
- 强化SSH/RDP（禁用密码、启用密钥、限制来源 IP、改端口）、安装Fail2Ban、及时补丁；
- 部署防病毒/EDR，监控异常进程与网络连接；
- 保持离线/异地备份副本，遭遇攻击时先隔离再恢复。
- 传输与存储安全：
- 使用SFTP/rsync over SSH或Rclone的加密通道；
- 备份数据加密与最小权限访问，并启用监控与告警。
- 监控与日志：
- 记录备份日志、监控任务成功/失败，及时处理异常。
