NAS 数据备份 3-2-1 策略实战：rsync 本地快照 + rclone 加密同步对象存储

摘要：NAS 只是存储，不是备份。本文用 3-2-1 原则，结合 Btrfs/ZFS 快照、rsync 跨盘镜像与 rclone 加密异地同步，给出一套可落地的防误删、防勒索家庭数据保护方案。

为什么 NAS 本身不等于备份

很多人把照片、文档、视频一股脑放进 NAS 就觉得安全了，其实这是最大的误区。RAID 解决的是"单块硬盘坏"的问题，它既不能防误删（Delete 会同步到所有盘），也不能防勒索病毒（加密程序会顺着 SMB 把共享卷整盘锁死），更挡不住整机被盗或楼层漏水。

数据保护的黄金法则是 3-2-1：保留 3 份数据副本，存于 2 种不同介质，其中 1 份在异地。NAS 至多算其中的"1 份在线主存"，必须补齐另外两层才算稳妥。

第一层：本地快照，对抗误删与勒索

飞牛 OS、群晖 DSM 都基于 Btrfs 或 ZFS，最便宜的防护就是开快照。快照占用的是增量块，每天一拍，一个月也吃不了几个 GB。

飞牛/群晖在共享文件夹设置里开启"快照"即可。命令行下也能手动建：

# Btrfs 手动快照（需 root）
btrfs subvolume snapshot -r /volume1/photo /volume1/.snap/photo_$(date +%F)

快照的关键价值在于"时间维度的副本"——即使今天被勒索加密，回滚到昨天零点即可。建议保留策略：近 7 天每日、近 4 周每周、近 6 月每月，老快照自动回收。

第二层：rsync 跨盘/跨设备镜像

快照在同一块存储上，物理损坏仍会全丢。第二层把数据镜像到另一块盘或另一台 NAS。最稳的方式是 rsync：

rsync -aHAX --delete --partial   /volume1/photo/   root@backup-nas:/volume2/photo_archive/

参数含义：-a 保留权限时间、-H 硬链接、-A ACL、-X 扩展属性；--delete 让目标与源严格一致；--partial 断点续传。注意 --delete 会删目标侧多余文件，首次跑前务必先用 -n 干跑确认。

若担心误删被同步，可改用 --backup --backup-dir=/volume2/photo_del/ 把被删文件挪到回收目录而非直接消失。

第三层：rclone 加密同步对象存储（异地）

异地副本首选云对象存储，国内可用阿里云 OSS、腾讯云 COS、华为云 OBS，单价约 0.1 元/GB/月。用 rclone 既做传输又做客户端加密，即使云平台被攻破也看不到明文。

先配两个 remote，一个是对象存储本身，一个是它的加密层：

rclone config  # 新增类型 S3，填 Endpoint/Key/Secret
# 再新增 type=crypt，remote 指向 oss:my-bucket，生成随机密钥

加密 remote 配好后，一条命令同步：

rclone sync /volume1/photo crypt:photo   --bwlimit 2M --tpslimit 10   --log-file=/var/log/rclone.log

--bwlimit 2M 限速避免挤占带宽，--tpslimit 限制请求频率防被限流。重要数据建议加 --checksum 用哈希而非 mtime 比对，防止时钟漂移导致漏传。

把三层串成定时任务

用 crontab 把三层串起来，凌晨低峰执行：

0 3 * * * /usr/bin/btrfs subvolume snapshot -r /volume1/photo /volume1/.snap/photo_$(date +\%F)
30 3 * * * /usr/bin/rsync -aHAX --delete /volume1/photo/ root@backup-nas:/volume2/photo_archive/
0 4 * * * /usr/bin/rclone sync /volume1/photo crypt:photo --bwlimit 2M

防勒索与权限隔离的关键细节

备份账号只用只读挂载主数据、用只写权限连对象存储，且对象存储侧开启版本控制，被勒索后能回退历史版本。
备份 NAS 不要一直在线 SMB，用完后 umount 或关停共享，缩小被横向移动攻击的窗口。
密钥离线保存（写在纸上或密码管理器），别和 NAS 放一起，否则一起被加密就前功尽弃。
每季度做一次恢复演练：随机抽一个文件，从云上 rclone 拉回验证可解，确认备份真能用。

小结

3-2-1 不是炫技，而是用"快照防误删 + 镜像防硬件 + 加密异地防灾难"三道防线，把单点故障逐个堵死。飞牛/群晖用户哪怕只做快照加 rclone 异地两步，也已经超过了 90% 的家庭数据保护水平。