Backup dei tuoi dati

32 min · 11 sezioni

Questa guida parla dell'unico backup che ti salva davvero: quello che esce dal NAS.

Tutto il resto che LGM-OS fa per i tuoi dati vive dentro lo stesso dispositivo. Il RAID regge la rottura di un disco, non la rottura del dispositivo. Le istantanee annullano un'eliminazione, non un incendio, un furto, una sovratensione che si porta via i dischi né un ransomware che cifra ciò che il NAS ha montato. Il backup della configurazione (nas-config-*.tar.gz) riporta il pannello com'era, e nemmeno un tuo file.

1. La regola 3-2-1 applicata a questo NAS

3 copie di ogni dato · su 2 supporti diversi · con 1 fuori dall'edificio.

In un NAS domestico si traduce in qualcosa di molto concreto:

Le istantanee non contano come copia: condividono i dischi con l'originale. Contano come cronologia, che è un'altra cosa altrettanto utile ma per un altro problema.

Se puoi, alza la posta a 3-2-1-1-0: una delle copie scollegata (un disco USB che si tiene in un cassetto o fuori casa e si collega solo per copiare — è l'unica cosa che un ransomware non può raggiungere) e 0 errori, cioè ripristini di prova che si fanno e si annotano (sezione 6).

2. Cosa copiare

Non tutto merita di uscire dal NAS: il backup esterno di solito è la risorsa più cara e più lenta che hai. Ordina per ciò che succederebbe se sparisse.

Due dettagli che si dimenticano sempre:

• Includi la configurazione del NAS. Scarica un nas-config-*.tar.gz (Pannello di controllo → Backup della configurazione) in una cartella che entri nel backup esterno, o pianifica l'attività di configurazione verso quella cartella. Senza, recuperare il dispositivo significa ricostruire a mano utenti, permessi e condivisioni.
• Ferma la scrittura prima di copiare i dati di un'app. Un database copiato a caldo può essere ripristinato corrotto. Ferma il container (o usa il suo dump pianificato) e copia dopo. Per i file normali non serve.

E attenzione al cestino di rete: vive dentro la cartella della casa stessa, quindi si copia insieme a lei. Pianifica un'attività «Svuota il cestino vecchio» (Pannello di controllo → Attività pianificate) perché ciò che hai eliminato mesi fa non continui a viaggiare verso il tuo backup esterno.

2 ante. La mia cartella ovunque (il «Drive» del NAS)

Prima di tutto, la frase da leggere due volte: questo non è un backup.

Una cartella sincronizzata è uno specchio vivo: ciò che salvi sul portatile compare nel NAS e negli altri tuoi dispositivi, e ciò che elimini su uno sparisce da tutti. È proprio ciò che vuoi per lavorare —il file è dove sei tu— e proprio ciò che non vuoi per proteggerti: un'eliminazione, una cifratura o un «salva sopra» viaggiano veloci quanto un file nuovo. Ciò che ti protegge da questo sono le istantanee del NAS, che vanno per conto loro, non occupano quasi nulla e a cui una cifratura del portatile non arriva.

Si configura in Backup → Sincronizzazione, in cima.

Com'è fatto

Tramite WebDAV, che il NAS serve già: segni «WebDAV» sulla cartella della casa, la scegli qui ed è già pubblicata. Sul computer si usa rclone, che esiste per Windows, Mac e Linux ed è lo stesso programma che questo NAS usa per tutto il resto. Il pannello ti dà la configurazione pronta, con il nome del NAS, la cartella e l'intervallo già inseriti.

Non c'è un programma proprio da installare su ogni dispositivo, ed è voluto: un client desktop per tre sistemi sono tre programmi di installazione, tre firme e tre aggiornamenti da mantenere per sempre, e ognuno di essi è un modo nuovo perché il NAS di casa tua resti senza assistenza.

La password non esce dal NAS. Il testo che copi contiene uno spazio vuoto che riempi sul computer stesso. Un testo che si copia e si incolla finisce negli appunti, in una chat e in uno screenshot.

I conflitti: non si butta mai nulla

Due computer toccano lo stesso file senza vedersi —uno in aereo, l'altro a casa—. Ci sono due politiche e nessuna delle due elimina:

Scegliere al posto tuo e buttare il lavoro dell'altro non è un'opzione. Quando compare un conflitto, il NAS avvisa dicendo dov'è l'altra versione: senza quella frase, la gente cerca nel cestino e dà per perso ciò che ha accanto.

E ciò che un rclone bisync a mano non dà: sapere se funziona ancora

Ogni computer manda un resoconto alla fine di ogni passaggio, e il pannello mostra un semaforo per dispositivo. Se uno tace, il NAS avvisa. È lo stesso motivo dei dispositivi di casa: una cartella che ha smesso di sincronizzarsi a marzo si vede esattamente come una che si è sincronizzata cinque minuti fa —i file sono ancora lì— e la differenza compare solo il giorno in cui cerchi ciò che credevi salvato.

Il termine è dodici volte l'intervallo di quel dispositivo: con cinque minuti, un'ora. Un portatile chiuso per un po' non è un portatile rotto.

Dettagli che si pagano se non si sanno

• Il primo passaggio è diverso. Ha --resync e accoppia i due lati; da lì in poi non si usa più. Metterlo in tutti i passaggi trasforma lo specchio in «ciò che dice uno dei due lati», che è l'ordine che cancella il lavoro dell'altro.
• Sincronizza come l'utente del NAS, con i suoi permessi: se quella persona non può scrivere nella cartella, non può farlo nemmeno la sincronizzazione.
• Smettere di sincronizzare non elimina nulla. Togliere la cartella dall'elenco interrompe lo specchio; i file restano nel NAS e sui computer.

2 bis. I dispositivi di casa: copiare il portatile e il PC NEL NAS

Tutto quanto sopra parla di portare fuori dal NAS ciò che c'è già dentro. Questo è il contrario: che il portatile e il PC di casa lascino il loro backup nel NAS. E c'è un motivo per trattarlo a parte: il disco di un portatile è ciò che si perde più spesso in tutta la casa —cade, si bagna, lo rubano— ed è ciò che quasi nessuno copia.

In Backup → Dispositivi c'è una procedura guidata che lo lascia pronto in un passaggio: crea una cartella della casa solo per quell'utente, le mette il suo limite di spazio, accende Time Machine se è un Mac e ti dice esattamente cosa premere su quel dispositivo. Non si inventa nessun protocollo: Time Machine e la Cronologia file di Windows sanno già copiare in una cartella di rete.

Ciò che conta davvero: accorgersi che ha smesso di copiare

Copiare lo sapevano già fare entrambi i sistemi. Ciò che nessuno faceva era accorgersi che uno dei due si è fermato, ed è lì che si perdono davvero i dati:

• Time Machine si arrende in silenzio quando non trova il disco diverse volte di seguito.
• La Cronologia file di Windows si spegne da sola cambiando rete.
• La quota si riempie e il backup smette di scrivere.

Nessuna delle tre cose fa rumore. Un backup fermo a marzo e scoperto a dicembre sono nove mesi di foto. Per questo ogni dispositivo registrato ha il suo semaforo —aggiornato, in ritardo, SENZA BACKUP— e il NAS avvisa quando uno tace. Il termine si imposta per dispositivo («ci si aspetta ogni N giorni») e l'avviso non scatta prima di tre volte quel termine: un portatile spento nel fine settimana non è un portatile rotto, e un sistema che grida per questo insegna a ignorarlo.

Per sapere quando ha copiato, il NAS guarda la data della cosa più recente nella cartella di quel dispositivo. Non serve installare nulla: Time Machine e la Cronologia file non raccontano a nessuno ciò che fanno, quindi o si guarda la cartella o non si sa.

Lo script, se vuoi scegliere tu le cartelle

Per Linux, o per chi vuole qualcosa di più fine di Time Machine, il pannello dà uno script —quattro righe di PowerShell o di shell, con il nome del NAS e la cartella già inseriti— che copia ciò che gli dici e racconta al NAS com'è andata. Con lo script il semaforo smette di essere una deduzione e diventa un resoconto: se robocopy o rsync falliscono, l'avviso arriva quella stessa notte invece che dopo tre termini.

Copia con ciò che il sistema ha già —robocopy su Windows, rsync su Mac e Linux— e non con un programma da installare e mantenere su ogni portatile di casa. E le versioni non le fa lo script: lascia uno specchio, e le versioni sono le istantanee del NAS, che si fanno già da sole, non occupano quasi nulla e una cifratura del PC non raggiunge.

Lo script contiene un token di quel dispositivo. Serve solo a dire «ho copiato» —non dà accesso a nulla— e si butta togliendo il dispositivo dall'elenco.

Ciò che questo NON fa

Non clona l'intero disco di un PC né permette di avviarsi dal backup (bare metal). Si copiano file, non sistemi. Se un portatile si rompe, recuperi i tuoi documenti e le tue foto, ma Windows o macOS vanno reinstallati.

E togliere un dispositivo dall'elenco non elimina la sua cartella né ciò che ha già copiato: smette solo di essere sorvegliato. Eliminare i dati di qualcuno togliendolo da un elenco è il tipo di sorpresa che un sistema di backup non può mai fare.

3. Dove copiare

L'app gestisce tre tipi di destinazione: locale (un percorso del NAS, tipicamente un disco USB montato), remota via SSH (rsync verso un altro server) e cloud (Google Drive, OneDrive, Dropbox, Box, pCloud, MEGA, WebDAV, Amazon S3, Wasabi, MinIO e Backblaze B2).

Uno schema che funziona molto bene e non costa nulla: backup reciproco. Il tuo NAS copia a casa di tuo fratello e il suo copia a casa tua. Ognuno mette disco e corrente, nessuno paga canoni, e le due copie sono a chilometri di distanza.

Blindare la destinazione (che il NAS non possa eliminare i suoi stessi backup)

La chiave SSH e il token del cloud vivono dentro il NAS, che è proprio la macchina che si suppone compromessa quando arriva una cifratura. Un ransomware serio non comincia dalle tue foto: comincia dai backup, e li elimina con le tue stesse credenziali prima di chiedere il riscatto.

Ogni destinazione ha un interruttore Blinda questa destinazione, e ciò che fa dipende dal tipo:

E la cosa importante: si prova, non si promette. Il pulsante Prova il lucchetto lascia un file esca nella destinazione e prova a eliminarlo. Che l'eliminazione fallisca è il risultato buono. È l'unico modo di saperlo: un lock_days salvato nella configurazione non dimostra che il bucket abbia Object Lock, e una chiave «limitata» che nessuno ha provato non lo è quasi mai. Il NAS ripete quella prova una volta alla settimana e avvisa solo se una destinazione che era blindata smette di esserlo — qualcuno ha reinstallato il server e ha rimesso la chiave senza limitarla, il bucket è stato ricreato senza Object Lock…

Per una destinazione via SSH, il pannello ti dà pronta la riga da incollare in ~/.ssh/authorized_keys dell'utente dei backup, dall'altra parte. Scriverla a mano è dove si sbaglia.

Backup nel cloud

Backup → Destinazioni → Nuova destinazione → Cloud. Ci sono due modi di collegarsi, secondo il provider:

• Con il tuo account (Google Drive, OneDrive, Dropbox, Box, pCloud). Il pannello ti dà un link, entri con il tuo account sul sito del provider e incolli di ritorno l'indirizzo a cui ti reindirizza. Il NAS conserva il permesso, non la tua password.
• Con chiavi (S3, Wasabi, MinIO, Backblaze B2, WebDAV, MEGA). Incolli la chiave di accesso e quella segreta che ti dà il servizio. In S3 e B2, il nome del bucket è il primo tratto della cartella di destinazione: miobucket/LGM-OS.

Come si conservano le versioni. Su un disco o via SSH, ogni backup riutilizza i file che non sono cambiati tramite hard link, e così una versione giornaliera occupa solo ciò che è cambiato. Nel cloud non ci sono hard link, quindi funziona in modo diverso: actual/ è uno specchio delle tue cartelle e, ogni volta che un file viene sostituito o eliminato, la versione precedente viene spostata in una cartella con la data del backup precedente. Non si perde nulla, ma una versione vecchia contiene solo i file che sono cambiati dopo, non la foto completa di quel giorno.

Cifratura end-to-end (facoltativa, e consigliata). Quando crei la destinazione puoi attivare la cifratura: nomi e contenuto si cifrano nel NAS prima di caricare qualsiasi cosa e il provider vede solo dati illeggibili — né le tue foto né i loro nomi. La chiave la genera il NAS e te la mostra una sola volta come frase di recupero: annotala fuori dal NAS (carta, gestore di password). Il NAS la conserva per copiare ogni notte, ma se il NAS muore, quella frase è l'unica cosa che apre il backup; con lei e un qualsiasi rclone si recupera da qualsiasi dispositivo. Si decide quando si crea la destinazione e non si può cambiare dopo: cifrare una destinazione con backup già fatti spaccherebbe lo specchio in due metà illeggibili tra loro. L'esploratore e il ripristino funzionano allo stesso modo con la cifratura e senza.

Prima di cominciare: guarda quanto occupano le tue cartelle. Caricare 2 TB con una fibra domestica da 300 Mb in upload sono circa quindici giorni a pieno regime. La cosa sensata è cominciare copiando solo ciò che è insostituibile (documenti, foto) e lasciare fuori ciò che si può riscaricare.

Ciò che ancora NON fa (e perché lo si dice qui)

• Cifratura di una cartella del NAS stesso o di una destinazione via SSH. Lì ogni versione si costruisce con hard link verso la precedente, e una cifratura per file cambia il contenuto a ogni passaggio: romperebbe proprio ciò che rende economiche le versioni e possibile ripristinare un singolo file. Nel cloud e su un disco USB invece esiste (vedi sopra e 5.1), perché lì il backup è uno specchio e non ci sono hard link da perdere. Se il server remoto non è tuo, cifra il disco dall'altra parte (LUKS).
• Immagine del disco di sistema (bare metal). Davanti a un disastro si reinstalla dalla ISO e si ripristina la configurazione; è rapido, ma non è «clona e avvia». È spiegato in disaster-recovery.md.

Sulla privacy della destinazione: il trasporto è cifrato quando copi via SSH, ma i file che arrivano sono leggibili da chi amministra quel dispositivo. Se la destinazione non è tua, cifra il disco di destinazione (LUKS dall'altra parte, o il disco USB stesso) e conserva quella password fuori dal NAS (gestore di password, foglio in un cassetto).

4. Ogni quanto

La domanda utile non è «ogni quanto copio» ma quanto lavoro sono disposto a perdere. Quella è la frequenza.

Pianifica i backup fuori dalle tue ore d'uso e non tutti insieme: un backup esterno alla stessa ora di uno scrub lascia il NAS lento per ore. Una buona distribuzione è backup alle 03:00 e scrub una domenica al mese alle 05:00.

E qualcosa che nessuno fa finché non gli succede: attiva gli avvisi (Pannello di controllo → Avvisi, SMTP o webhook). Un'attività di backup che fallisce in silenzio da tre mesi è esattamente utile quanto non avere un backup. La scheda di stato dell'app avvisa inoltre quando non c'è nessun backup configurato, quando l'ultimo è fallito, quando un'attività non viene eseguita da troppo tempo, quando è disattivata o quando la sua destinazione non è disponibile.

5. Configurare un backup passo passo

L'app Backup separa due cose, ed è bene capire perché:

• Destinazioni — dove si salva: il disco USB o il server remoto. Si definiscono una volta e si provano con il pulsante «Prova connessione», che non dice solo se funziona: mostra passo passo quale controllo fallisce (la cartella, i permessi, la chiave, l'rsync dall'altra parte) e quale comando eseguire per sistemarlo. Provale prima di fidarti, e di nuovo quando cambi qualcosa: una USB scollegata o un server spento è meglio scoprirli lì che alle tre di notte.
• Attività — cosa si copia e quando: cartelle di origine (con esclusioni facoltative), destinazione, orario e quanto si conserva — la conservazione intelligente di fabbrica, o per numero di versioni o per anzianità in giorni.

Ogni attività ha inoltre una velocità massima in MB/s, nell'ultimo passaggio della procedura guidata. Lasciala vuota e il backup andrà veloce quanto può; mettile un numero e non lo supererà. È ciò che vuoi quando il backup va verso un altro dispositivo o nel cloud e non vuoi che si prenda tutto l'upload di casa: con 100 Mb/s di upload (circa 12 MB/s), un limite di 6 MB/s lascia libera la metà per il resto. Frena solo i backup: il ripristino non si frena mai, perché lì c'è sempre qualcuno che aspetta.

Ogni esecuzione lascia una versione ripristinabile nella destinazione e una voce nella cronologia (con data, dimensione e l'errore esatto se è fallita). Con Esplora entri in qualsiasi versione come se fosse una cartella —quali file c'erano quel giorno, con la loro dimensione e la loro data— e ripristini la versione intera o solo ciò che segni, fino a un singolo file.

5.1 Su un disco USB o su un altro pool (destinazione locale)

1. Collega il disco. Se viene da Windows, formattalo da Archiviazione (ext4/Btrfs) o lascialo in NTFS/exFAT: LGM-OS lo monta comunque, ma **NTFS ed exFAT non conservano permessi né proprietari di Linux**, quindi ciò che ripristini arriverà senza. Per backup seri usa un disco con formato Linux.
2. Crea una destinazione di tipo locale con il percorso dove è montato il disco, e provala: la prova scrive davvero in quella cartella, che è l'unico modo di sapere che si può.
3. Crea l'attività: nome, cartelle di origine, quella destinazione, orario e versioni da conservare.
4. Avviala a mano una volta e guarda che finisca. Verifica poi la dimensione nella destinazione: se sono 4 GB di una cartella da 400, controlla quali cartelle hai scelto come origine.

Se quel disco esce di casa, cifralo. Quando la cartella della destinazione è su un disco USB, creandola compare «Cifra ciò che si salva su questo disco». Con l'interruttore acceso, i nomi e il contenuto si cifrano nel NAS prima di scrivere qualsiasi cosa: un disco perso o rubato non si può leggere. Il disco resta nel suo formato di sempre —exFAT, NTFS, ext4— e, con la frase di recupero, si apre su qualsiasi computer che abbia rclone, anche se il NAS non esiste più. La frase si mostra una sola volta, quando si crea la destinazione: annotala fuori dal NAS e lontano dal disco, perché senza non si recupera nulla. Si decide quando si crea e non si può cambiare dopo. In cambio, quella destinazione conserva le versioni come quelle del cloud (uno specchio actual/ e, con la data di ogni passaggio, ciò che è stato sostituito) invece che con hard link.

5.2 Su un altro server via SSH (destinazione remota)

Qui c'è il 90 % dei dubbi, quindi va con tutti i dettagli. Chiameremo NAS il tuo dispositivo e server remoto quello che riceve il backup.

Passo 1 — Ottieni la chiave pubblica del NAS

Nell'app Backup, quando crei una destinazione remota, il NAS genera la sua coppia di chiavi SSH e ti mostra quella pubblica. È una sola riga, simile a questa:

ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIB4o…9c2K nas@lgm-os

Quella privata resta nel NAS, in /etc/nas/ssh, una directory che può leggere solo root: né il pannello né alcun percorso dell'API possono mostrarla, perché il processo che serve il web gira senza privilegi. Copiala così com'è, intera e su una sola riga: se incollandola si spezza in due, l'autorizzazione non funzionerà.

Passo 2 — Crea l'utente che riceverà il backup (sul server remoto)

Non usare root né il tuo utente personale. Un utente dedicato e senza password di accesso:

sudo adduser --disabled-password --gecos "" copias
sudo install -d -m 750 -o copias -g copias /copias/nas    # cartella di destinazione

Passo 3 — Autorizza la chiave (sul server remoto)

L'app ti dà questo stesso comando già montato con la tua chiave, pronto da copiare e incollare in una sessione SSH del server remoto aperta con l'utente che riceverà il backup:

mkdir -p ~/.ssh && chmod 700 ~/.ssh \
  && echo 'ssh-ed25519 AAAA…' >> ~/.ssh/authorized_keys \
  && chmod 600 ~/.ssh/authorized_keys

Se preferisci farlo da un altro account con sudo, l'equivalente è:

sudo install -d -m 700 -o copias -g copias /home/copias/.ssh
sudo -u copias tee -a /home/copias/.ssh/authorized_keys >/dev/null
# incolla qui la riga completa della chiave pubblica e premi Invio e poi Ctrl+D
sudo chmod 600 /home/copias/.ssh/authorized_keys

I permessi non sono un dettaglio estetico: se .ssh non è 700 o authorized_keys non è 600, OpenSSH ignora la chiave senza spiegare perché e vedrai uno sconcertante «Permission denied (publickey)».

Consigliato — limita ciò che quella chiave può fare, aggiungendo opzioni all'inizio della stessa riga, prima di ssh-ed25519:

restrict,from="203.0.113.10" ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIB4o…9c2K nas@lgm-os

• restrict disattiva inoltro di porte, agent, X11 e terminale interattivo. rsync continua a funzionare (richiede OpenSSH 7.2 o successivo; Debian 11 e 12 lo soddisfano ampiamente).
• from="…" accetta quella chiave solo dal tuo IP pubblico. Se il tuo IP è dinamico, ammette il tuo nome DDNS (from="micasa.duckdns.org") o togli l'opzione.

Livello avanzato, se il server remoto non è del tutto tuo: rrsync chiude la chiave in un'unica directory e in modalità sola scrittura, così che non possa nemmeno leggere il resto del disco. In Debian 12 è incluso nel pacchetto rsync in /usr/bin/rrsync (nelle versioni precedenti, compresso in /usr/share/doc/rsync/scripts/):

command="/usr/bin/rrsync -wo /copias/nas",restrict ssh-ed25519 AAAA…

Tieni conto che con -wo (sola scrittura) il backup entra ma non puoi ripristinare per quella stessa via: il ripristino si fa dal server remoto o togliendo temporaneamente quella restrizione. È uno scambio consapevole, non una dimenticanza.

Passo 4 — Verifica l'impronta del server remoto

La prima connessione ti chiederà di accettare l'impronta del server. Accettarla alla cieca significa accettare qualsiasi dispositivo si metta in mezzo, quindi ottieni quella vera eseguendo sul server remoto:

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub

Confronta quella stringa SHA256:… con quella che ti mostra il NAS provando la destinazione. Coincidono o non accettarla.

Passo 5 — Prova la connessione e salva

Usa il pulsante di prova della destinazione nell'app: verifica che il NAS entri, che la cartella esista e che possa scriverci. Se preferisci vederlo dalla console del NAS, fallo come root e puntando alla chiave gestita, che è quella che useranno i backup (è il processo privilegiato a eseguire rsync, non l'utente di servizio):

sudo ssh -i /etc/nas/ssh/id_ed25519 -p 22 copias@servidor.example.com 'touch /copias/nas/.prueba && echo ok'

Cosa significa ogni errore tipico:

Passo 6 — Crea l'attività di backup

Nome, cartelle di origine, quella destinazione remota, orario e quanto si conserva. Se il dispositivo di destinazione non è tuo, cifra lì il disco che riceve il backup (LUKS): il pannello non cifra ancora il backup all'origine, e lo dice. Prima esecuzione a mano: il backup iniziale manda tutto e può richiedere ore o giorni secondo la linea in upload. Le successive sono incrementali (rsync manda solo ciò che è cambiato) e durano minuti. Se il primo backup via internet è impraticabile, fallo in locale: porta il NAS o un disco USB nel luogo del server remoto, copia in rete locale e poi cambia la destinazione con la connessione remota — rsync vedrà che quasi tutto c'è già e invierà solo le differenze.

5.3 Conservazione: il backup non è uno specchio

Un dettaglio che decide se sopravvivi a un ransomware o no. Se il backup si limita a riflettere l'origine, un file che oggi si elimina (o si cifra) nel NAS si elimina (o si cifra) stanotte anche nel backup.

Difese, dalla meno alla più forte:

1. Versioni conservate nell'attività: ogni esecuzione lascia una versione e si eliminano solo le più vecchie quando si supera il numero che hai fissato. Con 7 versioni giornaliere hai una settimana per accorgerti che qualcosa si è rotto; con 1 versione, nessuna. Conta lo spazio: N versioni occupano più di una, anche se le parti che non cambiano si condividono tra loro. La conservazione intelligente (quella di fabbrica) fa questo senza numeri: conserva tutti i backup delle ultime 24 ore, uno al giorno per 7 giorni, uno alla settimana per 4 settimane e uno al mese per 12 mesi — recenti a sufficienza per uno spavento di oggi, e un anno di profondità per ciò che si scopre tardi. Conta «gli ultimi N periodi con backup», come restic: se il NAS è rimasto spento per mesi, ciò che precede il buco non si butta solo perché è vecchio.
2. Istantanee nella destinazione: se il server remoto è un altro NAS con ZFS o Btrfs, che faccia le sue istantanee della directory dei backup. È la protezione più economica e più efficace.
3. Un backup scollegato: il disco USB del cassetto. Niente che non sia collegato si può cifrare.

6. Provare che il backup serve (l'unica parte non facoltativa)

Un backup non verificato non è un backup: è una cartella grande di cui ti fidi per fede. I tre indicatori che non dimostrano nulla sono l'attività in verde, la dimensione della destinazione e «rsync non ha dato errori».

Il pulsante Verifica di ogni attività fa metà del lavoro senza spostare un byte: legge il backup intero nella destinazione e verifica che coincida con ciò che è stato annotato copiandolo (su disco e via SSH, il numero di file e la dimensione della versione; nel cloud, il confronto tra quanto pesa lo specchio e quanto pesa l'origine). Il risultato resta nella scheda e nella cronologia, e se non coincide il NAS avvisa come avvisa di un backup fallito. Rileva il backup rimasto a metà, la destinazione che ha perso file e il disco che sta morendo — ciò che non può dimostrare è che i byte dentro ogni file siano ancora quelli buoni, quindi la verifica completa la prova vera, non la sostituisce.

L'unica prova valida è ripristinare davvero e aprire il file ripristinato. Con l'esploratore costa meno che mai: entra in una versione, segna tre file a caso e ripristinali in una cartella temporanea.

E se il disco di destinazione è cifrato (LUKS), la prova include aprirlo con la sua password: un disco cifrato la cui chiave nessuno ricorda è spazio occupato, non un backup.

La prova automatica (la fa il NAS da solo)

Tutto quanto sopra va bene e quasi nessuno lo fa. Per questo il NAS lo fa da sé: una volta al mese prende alcuni file a caso dall'ultimo backup di ogni attività, li ripristina davvero in una cartella temporanea e li confronta con l'originale. Poi cancella ciò che è stato ripristinato e lo racconta nel rapporto settimanale.

Non è la verifica del pulsante Verifica —quella guarda la dimensione e il numero di file—. La prova ripristina, con gli stessi programmi e la stessa strada che useresti il giorno brutto, e confronta byte per byte con l'originale: è l'unica cosa che scopre una destinazione che accetta scritture e restituisce spazzatura, una chiave di cifratura persa o un disco che legge male proprio il settore dove c'erano le foto.

Come evita di disturbare e come evita di mentire:

• Venti file, mezzo giga e un quarto d'ora al massimo. In un backup da due tera non si nota; ed essendo a caso, in un anno si è provato mezzo backup.
• Sceglie solo file che esistevano già quando è stato fatto il backup. Se hai toccato l'originale dopo, il backup deve essere diverso e confrontarli darebbe un errore inventato. Con quella regola, «diverso» può significare solo «il backup è rovinato».
• Non tocca nulla. Ripristina in una cartella temporanea e la cancella alla fine.
• Ciò che non si è potuto confrontare non si dà per buono. Si conta a parte: il numero che si mostra come verificato è quello dei file confrontati davvero.

Si vede in Backup → Attività, sotto l'elenco, con un pulsante Prova ora nel caso tu non voglia aspettare il mese. E compare nel rapporto settimanale nella sua sezione; se qualche backup non torna, arriva anche un avviso e il voto del rapporto scende molto: un backup che esiste e non torna è peggio di non avere un backup, perché nessuno ne sta cercando un altro.

Piano di prove

Ripristino di prova (mensile)

Dall'app: scegli l'attività, la versione che vuoi recuperare e una cartella di destinazione nuova — mai sopra l'originale, perché se qualcosa va storto vorrai poter confrontare le due. Il ripristino gira come attività, con il suo avanzamento, proprio come il backup.

Poi apri qualche file: una foto che si vede, un PDF che si apre, un video che si riproduce. Un file da 4 MB che esiste ma non si apre è un file perso. E cancella dopo la cartella di prova, che occupa quanto ciò che hai ripristinato.

Ripristino completo di una cartella (trimestrale)

Ripristina dall'app un'intera cartella in /mnt/<pool>/prueba-restauracion e confrontala con l'originale. Dalla console del NAS:

# 1. Confrontare con l'originale: non deve elencare differenze
sudo diff -qr /mnt/tanque/documentos /mnt/tanque/prueba-restauracion

# 2. Verifica forte (confronta il contenuto, non date né dimensioni)
sudo rsync -avnc --delete /mnt/tanque/documentos/ /mnt/tanque/prueba-restauracion/

# 3. Cancellare la cartella di prova quando hai finito
sudo rm -rf /mnt/tanque/prueba-restauracion

Nel passo 2, -c confronta i checksum (lento ma onesto) e -n non cambia nulla: se quel comando non elenca file, il contenuto è identico bit per bit. Attenzione allo spazio: la prova duplica temporaneamente ciò che ripristini, quindi scegli una cartella che ci stia.

Una sfumatura importante se ripristini una versione vecchia: le differenze con l'originale di oggi sono normali (è ciò che è cambiato da allora). Per questo confronto usa l'ultima versione, o confronta solo file che sai di non aver toccato.

Annota il risultato

Due righe per prova, dove vuoi, ma annotale:

2026-07-25 · Ripristinati 4 file dal backup remoto · si aprono bene · 3 min
2026-07-25 · Ripristino completo di «documentos» (38 GB) · diff senza differenze · 41 min

Il dato che quasi nessuno misura è il tempo di ripristino. Sapere che recuperare 2 TB via internet richiede quattro giorni cambia le decisioni: potresti volere il backup locale oltre a quello remoto, o un disco che puoi andare a prendere in auto.

Cosa fare se la prova fallisce

Fallisce la prova, non il giorno del disastro: è esattamente ciò a cui serve. Controlla le origini dell'attività (mancava una cartella?), i permessi della destinazione, la cronologia nel caso fallisse in silenzio da settimane e, se il disco di destinazione è cifrato, che la password sia quella che credi. Correggi, copia di nuovo e prova di nuovo.

7. Ciò che questo backup non copre

Con onestà, perché non ti colga di sorpresa:

• Un file corrotto che si copia corrotto. rsync copia ciò che c'è. Contro questo ci sono i checksum di ZFS/Btrfs e gli scrub pianificati, che rilevano la corruzione all'origine prima che si propaghi.
• Ciò che non hai scelto come origine. Una cartella della casa nuova non entra da sola in nessuna attività: quando ne crei una, aggiungila all'attività che le spetta o resterà fuori dal backup senza che nessuno ti avvisi.
• Il tempo di caricamento. Una linea domestica da 300 Mbps in download di solito ha 30 in upload: circa 10 GB all'ora nel caso migliore. Dimensiona il primo backup tenendolo a mente.
• Le password e il 2FA. Il backup della configurazione non contiene la chiave di firma delle sessioni (si rigenera) e i tuoi codici TOTP sono nel tuo telefono, non nel NAS. Conserva i codici di recupero da un'altra parte.

8. Il backup nel cloud fallisce

Prima cosa: il messaggio d'errore, nell'app Backup, ora dice cosa ha risposto il cloud (senza spazio, permesso scaduto, indirizzo sbagliato…). Quel testo è la diagnosi; ciò che segue è per i casi che si ripetono.

Nextcloud e altri WebDAV: usa una password per app, non quella del tuo account (Impostazioni → Sicurezza → Dispositivi e sessioni). Se il server è dietro un proxy con un limite di dimensione dei caricamenti, quel limite comanda su qualsiasi impostazione del NAS.

Vedi anche

• Ripristino di emergenza — cosa fare quando è già successo.
• Guida all'amministrazione — istantanee, scrub, avvisi.