Servidor para copias de seguridad: almacenamiento con RAID y cifrado

Un servidor para backups es un almacenamiento especializado, a menudo un servidor dedicado, equipado con arreglos de discos redundantes (RAID 1, 5, 6), potentes medios de cifrado de datos y optimizado para copias de seguridad automatizadas utilizando herramientas como Borg, Restic o rsync.

En el mundo digital actual, los datos son uno de los activos más valiosos para cualquier empresa o usuario particular. La pérdida de archivos críticos debido a fallos de hardware, ciberataques, errores humanos o catástrofes naturales puede tener consecuencias catastróficas, llegando incluso a la interrupción total de las operaciones comerciales. Por esta razón, la creación de un backup server fiable no es solo una recomendación, sino un elemento obligatorio de la estrategia de seguridad de la información.

En este artículo, exploraremos en detalle cómo construir un servidor para backups eficiente, qué tecnologías utilizar para garantizar la seguridad y confidencialidad de los datos, y cómo elegir el hardware adecuado para sus necesidades.

¿Qué es un backup server y por qué es críticamente importante para el negocio?

Un backup server es un servidor diseñado exclusiva o predominantemente para almacenar copias de seguridad de datos de otros sistemas. Su tarea principal es garantizar la disponibilidad e integridad de los datos en caso de pérdida en la fuente original. Puede ser tanto un servidor dedicado físico como un potente VPS, dependiendo de los volúmenes y los requisitos de rendimiento.

La importancia crítica de dicho servidor se debe a varios factores:

• Protección contra la pérdida de datos: La función principal es la recuperación de información después de fallos.
• Continuidad del negocio (Business Continuity): La recuperación rápida de datos permite minimizar el tiempo de inactividad y las pérdidas financieras.
• Cumplimiento normativo: Muchas industrias tienen requisitos estrictos para el almacenamiento y la protección de datos, incluyendo copias de seguridad regulares.
• Protección contra ciberataques: Las copias de seguridad, especialmente las aisladas (offsite), pueden ser la única forma de recuperación después de ataques de ransomware.

Un backup storage server correctamente configurado debe ser fiable, seguro, escalable y fácil de gestionar.

¿Qué RAID elegir para un backup storage server?

RAID (Redundant Array of Independent Disks) es una tecnología que permite combinar varios discos físicos en un solo volumen lógico para aumentar el rendimiento, la tolerancia a fallos o ambos. Para un backup storage server, la tolerancia a fallos es una prioridad.

Tipos principales de RAID adecuados para backups:

• RAID 1 (Mirroring): Dos discos funcionan como un espejo el uno del otro. Si un disco falla, los datos permanecen en el segundo. Excelente tolerancia a fallos, pero se pierde el 50% del espacio en disco. La velocidad de lectura es alta, la de escritura es como la de un solo disco. Ideal para volúmenes de datos pequeños pero muy críticos.
• RAID 5 (Striping with Parity): Requiere un mínimo de tres discos. Los datos se distribuyen entre todos los discos junto con bloques de paridad. Puede soportar el fallo de un disco sin pérdida de datos. Uso eficiente del espacio (N-1 discos), buena velocidad de lectura, pero la escritura puede ser más lenta debido al cálculo de la paridad. Una opción popular para equilibrar coste, rendimiento y fiabilidad.
• RAID 6 (Striping with Dual Parity): Requiere un mínimo de cuatro discos. Similar a RAID 5, pero utiliza dos bloques de paridad. Puede soportar el fallo de dos discos. Tolerancia a fallos aún mayor, pero un uso del espacio ligeramente menos eficiente (N-2 discos) y una escritura más lenta en comparación con RAID 5. Recomendado para grandes volúmenes de datos donde el riesgo de fallo simultáneo de dos discos no es nulo.
• RAID 10 (1+0): Combinación de RAID 1 y RAID 0. Requiere un mínimo de cuatro discos. Los datos se espejan y luego los espejos se combinan en un strip. Alto rendimiento de lectura/escritura y excelente tolerancia a fallos (puede soportar el fallo de varios discos, si no son espejos entre sí). Sin embargo, se pierde el 50% del espacio en disco, lo que lo convierte en una solución costosa para grandes volúmenes de backups.

Para la mayoría de los escenarios de backup storage server, RAID 5 o RAID 6 son óptimos, dependiendo del volumen de datos y el nivel de tolerancia a fallos requerido. Si tiene un presupuesto limitado, pero los datos son muy importantes, RAID 1 es adecuado para volúmenes más pequeños.

Comparación de arreglos RAID para copias de seguridad

Cifrado de datos: protección de su offsite backup server

El cifrado es la piedra angular de la seguridad de cualquier offsite backup server. Sin cifrado, sus datos confidenciales podrían verse comprometidos en caso de acceso no autorizado al servidor o extracción física de los discos. El cifrado protege los datos tanto "en reposo" (en el disco) como "en tránsito" (durante la transmisión).

Métodos de cifrado

1. Cifrado a nivel de sistema de archivos o contenedor:
   • LUKS (Linux Unified Key Setup): Permite cifrar particiones o discos enteros. Es uno de los métodos más fiables de cifrado "en reposo". Al reiniciar el servidor, se requiere una contraseña para desbloquear los discos.
   • eCryptfs: Cifrado a nivel de sistema de archivos, a menudo utilizado para cifrar el directorio personal del usuario.

   Ejemplo de creación de una partición cifrada con LUKS:

   sudo cryptsetup -v luksFormat /dev/sdX1
   sudo cryptsetup -v open /dev/sdX1 my_encrypted_backup
   sudo mkfs.ext4 /dev/mapper/my_encrypted_backup
   sudo mount /dev/mapper/my_encrypted_backup /mnt/backup

2. Cifrado a nivel de aplicación para copias de seguridad:
   • Borg Backup y Restic: Estas herramientas tienen mecanismos de cifrado integrados que cifran los datos antes de escribirlos en el disco. Esto es conveniente, ya que el cifrado ocurre en el lado del cliente, y los datos ya cifrados se envían al servidor. La clave de cifrado nunca abandona la máquina cliente.
   • GnuPG: Se puede utilizar para cifrar archivos individuales o archivos antes de enviarlos al servidor.
3. Cifrado durante la transmisión de datos:
   • SSH/SFTP: Utilice siempre protocolos seguros para la transmisión de datos a un offsite backup server. SSH cifra todo el tráfico entre el cliente y el servidor.
   • VPN: La creación de un túnel VPN entre la fuente de datos y el servidor de backups añade una capa adicional de protección.

La elección del método depende de sus requisitos de seguridad y conveniencia. La combinación de LUKS para el cifrado completo del disco y el cifrado integrado de Borg/Restic proporciona la máxima protección.

¿Cómo calcular la capacidad necesaria para un backup server?

El cálculo de la capacidad para un backup server es un paso críticamente importante que ayudará a evitar problemas de falta de espacio en el futuro. Incluye varios factores:

1. Volumen de datos original: ¿Cuántos datos necesita respaldar ahora mismo? (Por ejemplo, 1 TB).
2. Tasa de crecimiento de datos: ¿Qué tan rápido aumenta el volumen de sus datos? (Por ejemplo, 10% al año o 50 GB al mes).
3. Política de retención (Retention Policy): ¿Cuánto tiempo planea almacenar las copias de seguridad?
   • Backups diarios de la última semana.
   • Backups semanales del último mes.
   • Backups mensuales del último año.
   • Backups anuales de los últimos N años.

   Cuanto más largo sea el período de retención y más frecuentes las copias, más espacio se necesitará.

4. Tipo de copia de seguridad:
   • Completa (Full): Cada copia contiene todos los datos. Requiere mucho espacio.
   • Incremental (Incremental): Solo se copian los datos modificados desde el último backup (completo o incremental). Muy eficiente en espacio, pero la restauración es más larga.
   • Diferencial (Differential): Se copian todos los cambios desde el último backup completo. Ocupa más espacio que el incremental, pero la restauración es más rápida.

   Las herramientas modernas, como Borg y Restic, utilizan deduplicación y compresión, lo que reduce significativamente el volumen requerido.

5. Factor de compresión y deduplicación:

   Al usar Borg o Restic, los datos pueden ser comprimidos y deduplicados. El factor de compresión puede variar de 1.5x a 5x o más, dependiendo del tipo de datos. La deduplicación evita almacenar bloques de datos idénticos varias veces, lo que ahorra aún más espacio.

   Ejemplo: Si tiene 1 TB de datos que crecen 100 GB al mes, y desea almacenar 30 copias incrementales diarias, 4 semanales y 12 mensuales, sin deduplicación esto requeriría una enorme cantidad de espacio. Con deduplicación y compresión (por ejemplo, 2x), 1 TB puede convertirse en 500 GB, y los cambios incrementales ocuparán mucho menos.

   Fórmula para un cálculo aproximado:

   Capacidad_total = (Volumen_datos_original / Factor_compresión) * (1 + (Número_copias_incrementales * Tamaño_medio_incremental / Volumen_datos_original)) * Factor_redundancia_RAID

   Esta es una fórmula muy simplificada. En la práctica, es mejor comenzar con 2-3x del volumen de datos original para un almacenamiento cómodo de backups durante varios meses, teniendo en cuenta la deduplicación, y luego monitorear el uso y escalar el almacenamiento.

   Para grandes volúmenes de datos, considere un servidor dedicado con un disco grande.

Herramientas para copias de seguridad: Borg, Restic y rsync server

La elección de la herramienta adecuada para la copia de seguridad determina la eficiencia, velocidad y fiabilidad de todo el sistema. Consideremos tres soluciones populares:

Borg Backup Server

Borg Backup es una herramienta potente, eficiente y segura para copias de seguridad deduplicadas. Almacena los datos en archivos cifrados, comprimidos y deduplicados. Esto lo hace ideal para un borg backup server.

• Deduplicación: Borg divide los archivos en bloques y almacena solo los bloques únicos. Si tiene muchas versiones del mismo archivo o varios archivos similares, Borg ahorra mucho espacio.
• Compresión: Soporta varios algoritmos de compresión (zlib, lz4, zstd).
• Cifrado: Cifrado AES256-CTR integrado, protegido por contraseña o clave. Los datos se cifran en el cliente antes de enviarse al servidor.
• Almacenamiento remoto: Funciona a través de SSH, lo que simplifica la configuración de un offsite backup server.
• Montaje de archivos: Se pueden montar los archivos como un sistema de archivos normal para una fácil recuperación de archivos individuales.

Ejemplo de uso de Borg:

# En el servidor de backups (borg server)
# Instalación de Borg (ejemplo para Debian/Ubuntu)
sudo apt update && sudo apt install borgbackup

# Creación del repositorio
borg init --encryption=repokey-blake2 /path/to/backup/repo

# En el cliente
# Creación del primer backup
borg create --stats --progress ssh://user@your_backup_server:/path/to/backup/repo::my-first-backup /home/user/data /var/www

# Creación de backups incrementales posteriores
borg create --stats --progress ssh://user@your_backup_server:/path/to/backup/repo::my-daily-backup-{now} /home/user/data /var/www

# Eliminación de backups antiguos según la política
borg prune -v --list --keep-daily=7 --keep-weekly=4 --keep-monthly=6 ssh://user@your_backup_server:/path/to/backup/repo

Restic

Restic es otra herramienta moderna, segura y eficiente para copias de seguridad, muy similar a Borg. También utiliza deduplicación, compresión y cifrado.

• Content-addressable storage: Restic almacena los datos por su hash, lo que garantiza una deduplicación eficiente y la verificación de la integridad.
• Cifrado: Cifrado AES-256 integrado en modo CTR utilizando hashing polinomial Poly1305.
• Múltiples backends: Soporta almacenamiento en discos locales, SFTP, así como en almacenamientos en la nube (S3, Azure Blob Storage, Google Cloud Storage, etc.).
• Verificación de integridad: Comprobaciones regulares de la integridad del repositorio.

Ejemplo de uso de Restic:

# En el servidor de backups o en el almacenamiento en la nube
# En el cliente
export RESTIC_REPOSITORY="sftp:user@your_backup_server:/path/to/backup/repo"
export RESTIC_PASSWORD="your_strong_password"

# Inicialización del repositorio
restic init

# Creación del backup
restic backup /home/user/data /var/www

# Ver snapshots
restic snapshots

# Eliminación de backups antiguos
restic forget --keep-daily 7 --keep-weekly 4 --keep-monthly 6 --prune

rsync server

rsync es una herramienta clásica y altamente eficiente para la sincronización de archivos y directorios. No tiene deduplicación o cifrado de datos "en reposo" incorporados, pero es muy bueno para transferir cambios entre dos puntos.

• Transferencia incremental: rsync transfiere solo las partes modificadas de los archivos, lo que ahorra tráfico y tiempo.
• Flexibilidad: Puede funcionar a través de SSH o mediante su propio protocolo (rsync daemon).
• Simplicidad: Fácil de configurar para escenarios básicos.

Ejemplo de uso de rsync:

# Sincronización de un directorio local con un servidor remoto a través de SSH
rsync -avz --delete /home/user/data/ sshuser@your_backup_server:/mnt/backup/data/

# Donde:
# -a: modo archivo (recursivo, conserva enlaces simbólicos, permisos, tiempos, grupos, propietario)
# -v: salida detallada
# -z: compresión de datos durante la transferencia
# --delete: elimina archivos en el destino si no existen en el origen

Para crear un rsync server completo, en el lado del servidor se puede ejecutar el demonio `rsyncd` con la configuración correspondiente en el archivo `/etc/rsyncd.conf`. Sin embargo, para la mayoría de las tareas, un túnel SSH es suficiente y más seguro.

La elección entre Borg/Restic y rsync depende de sus necesidades. Para el almacenamiento a largo plazo, deduplicado y cifrado, Borg o Restic son preferibles. Para una sincronización rápida o la creación de un backup inicial "seed", rsync es indispensable.

Estrategia 3-2-1 y ubicación del offsite backup server

La estrategia 3-2-1 es el estándar de oro para las copias de seguridad. Establece:

1. Tenga al menos 3 copias de sus datos (original + 2 backups).
2. Almacene las copias en 2 tipos diferentes de medios (por ejemplo, HDD y almacenamiento en la nube, o HDD y NAS).
3. Almacene 1 copia de forma remota (offsite) de la ubicación principal de almacenamiento de datos.

Precisamente para cumplir el tercer punto se necesita un offsite backup server. Ubicar un servidor dedicado en otro centro de datos o ubicación geográfica protege sus datos de desastres locales, como incendios, inundaciones, cortes de energía o ataques físicos a la oficina principal.

Valebyte ofrece servidores dedicados en varias ubicaciones, lo que permite implementar fácilmente una estrategia offsite. Puede tener su servidor principal en un país y su backup server en otro, por ejemplo, en Alemania o los Países Bajos, garantizando la máxima redundancia geográfica.

Elección de un servidor dedicado para backups: características y precios

La elección de un servidor dedicado óptimo para backups requiere atención a varias características clave:

1. Subsistema de disco: Este es el componente más importante.
   • Tipo de discos: HDD (SATA/SAS) para máxima capacidad y economía. Los SSD (NVMe/SATA) pueden usarse para almacenar metadatos de Borg/Restic o para backups que requieren alta velocidad de recuperación, pero su coste por gigabyte es mayor.
   • Volumen: Se calcula en función de sus necesidades (ver sección anterior). Se recomienda tener un margen del 20-30%.
   • Controlador RAID: Un controlador RAID de hardware supera significativamente al software en rendimiento y fiabilidad, especialmente para RAID 5/6.
2. Memoria RAM:
   • Para Borg/Restic: Cuanta más RAM, más eficiente será la deduplicación y más rápido se construirán los índices de los archivos. Para 1-2 TB de datos, 8-16 GB de RAM son suficientes; para volúmenes grandes (más de 10 TB), se recomiendan 32 GB o más.
   • Para rsync: Menos crítico, 4-8 GB suelen ser suficientes.
3. Procesador (CPU):
   • Para compresión y cifrado: Los procesadores modernos con varios núcleos (por ejemplo, Intel Xeon E3/E5 o AMD EPYC) procesarán estas tareas rápidamente. Para la mayoría de las tareas de backup, no se necesita un CPU de gama alta, pero la presencia de varios núcleos con una buena frecuencia de reloj acelerará los procesos.
4. Interfaz de red:
   • Velocidad: 1 Gbps es el estándar, pero si necesita transferir grandes volúmenes de datos rápidamente, un puerto de 10 Gbps acelerará significativamente el proceso. Tenga en cuenta que la velocidad del canal también está limitada por el ancho de banda de su fuente de datos.
   • Tráfico: Preste atención a los límites de tráfico proporcionados por el proveedor de hosting. Para los backups, generalmente se requiere un gran volumen de tráfico saliente para la recuperación y entrante para la creación de copias.

Ejemplo de configuraciones de servidores dedicados para backups

A continuación se presentan configuraciones aproximadas que son adecuadas para diversas escalas de tareas de copia de seguridad. Los precios son orientativos y pueden variar.

Para elegir la solución adecuada, le recomendamos consultar nuestra guía para elegir un servidor dedicado, así como la información sobre qué elegir: VPS o servidor dedicado.

Recomendaciones para la configuración y mantenimiento de un backup server

La configuración y el mantenimiento regular de un backup server garantizan su fiabilidad y eficiencia:

1. Automatización: Configure scripts para iniciar automáticamente las copias de seguridad según un horario (cronjobs). El factor humano es una causa frecuente de omisión de backups.
2. Monitorización: Implemente un sistema de monitorización que rastree el estado de los discos (SMART), el espacio libre, el éxito de las tareas de backup y la integridad de los repositorios (por ejemplo, borg check o restic check). Las notificaciones de fallos deben llegar de inmediato.
3. Pruebas de recuperación: Realice pruebas de recuperación de datos de los backups regularmente (una vez al mes o al trimestre). Esta es la única forma de asegurarse de que sus copias son realmente funcionales.
4. Seguridad:
   • Utilice claves SSH en lugar de contraseñas para acceder al servidor.
   • Deshabilite el inicio de sesión con contraseña para SSH.
   • Cambie el puerto SSH estándar.
   • Configure un firewall (por ejemplo, UFW o iptables), permitiendo el acceso solo desde direcciones IP de confianza y solo a los puertos necesarios.
   • Actualice regularmente el SO y todo el software del servidor.
5. Documentación: Documente detalladamente todas las configuraciones, los procedimientos de copia de seguridad y recuperación, la ubicación de las claves de cifrado y las contraseñas.
6. Gestión de claves de cifrado: Almacene las claves de cifrado en un lugar seguro, separado del servidor de backups. La pérdida de una clave equivale a la pérdida de datos.

Conclusiones

Un servidor fiable para backups es una inversión en la estabilidad y seguridad de su negocio. La elección de un servidor dedicado con un arreglo RAID adecuado, cifrado eficiente y herramientas potentes como Borg o Restic, garantiza la máxima protección de datos. No olvide la estrategia 3-2-1 y las pruebas regulares para que su backup server esté siempre listo para la acción.