Backup offsite con rclone hacia S3 o Backblaze B2 en Linux

Descarga y ejecuta el instalador oficial:

curl https://rclone.org/install.sh | sudo bash

El script detecta la arquitectura (amd64, arm64), descarga el binario desde GitHub, instala en /usr/bin/rclone y genera la página de manual. La salida final imprime la versión instalada — confirma que está por encima de 1.65.

Verifica la instalación:

rclone version

La salida esperada empieza con rclone v1.6x.x seguido por las líneas de OS, arch y Go version. Si aparece “command not found”, /usr/bin no está en el PATH del shell actual — abre una nueva sesión o ejecuta hash -r.

Crea la Application Key en el panel B2 con acceso al bucket que recibirá los backups. Guarda el keyID y la applicationKey — B2 solo muestra la applicationKey una vez. Crea también el bucket de destino (privado, sin cifrado server-side — vamos a cifrar del lado cliente).

Inicia el configurador interactivo de rclone:

rclone config

Selecciona n (new remote), nómbralo como b2-raw, elige el tipo 5 (Backblaze B2). Pega el keyID en “account” y la applicationKey en “key”. Confirma con y cuando pregunte si quieres aceptar los defaults restantes.

Prueba la conexión listando los buckets:

rclone lsd b2-raw:

La salida debe mostrar los buckets de la cuenta, uno por línea, con fecha de creación. Un error 401 unauthorized significa que el keyID/applicationKey son incorrectos o la Application Key fue revocada en el panel.

Ejecuta rclone config, elige n, nómbralo como s3-raw, tipo 4 (Amazon S3). En “provider” selecciona AWS. En “env_auth” deja false para pegar credenciales manualmente. Pega access_key_id y secret_access_key. En “region” elige la region del bucket (ej: us-east-1, sa-east-1). En “storage_class” deja vacío para Standard o elige STANDARD_IA para acceso infrecuente (más barato para backup raramente leído).

En rclone config, crea otro remote con n, nómbralo como b2-crypt (o s3-crypt), tipo 13 (crypt). En “remote” escribe b2-raw:nombre-del-bucket/backups (sustituye por tu bucket y ruta). En “filename_encryption” elige 1 (standard — oculta nombres). En “directory_name_encryption” elige true.

Cuando pregunte por la contraseña, elige g (generate random) — genera una contraseña fuerte de 1024 bits. Copia y guarda la contraseña generada en un gestor de contraseñas antes de continuar. Sin esa contraseña, el backup es irrecuperable incluso con acceso al bucket.

Para la “password2” (salt), también usa g para generar aleatorio. Guárdala junto con la contraseña principal. Confirma con y en el resumen, después q para salir del configurador.

Ejecuta el backup inicial de /var/www y /etc:

rclone copy /var/www b2-crypt:var-www \
  --progress \
  --transfers 4 \
  --checkers 8 \
  --bwlimit 50M

El flag --progress muestra ETA y throughput en tiempo real. --transfers 4 define cuántos archivos suben en paralelo. --bwlimit 50M limita a 50 MB/s para no saturar la red del servidor (ajusta según tu ancho de banda).

Crea un script wrapper en /usr/local/bin/backup-offsite.sh:

sudo tee /usr/local/bin/backup-offsite.sh > /dev/null <<'EOF'
#!/bin/bash
set -euo pipefail

LOG=/var/log/rclone-backup.log
exec >> "$LOG" 2>&1

echo "=== Backup iniciado en $(date -Iseconds) ==="

rclone copy /var/www b2-crypt:var-www \
  --transfers 4 \
  --checkers 8 \
  --bwlimit 50M \
  --log-level INFO

rclone copy /etc b2-crypt:etc \
  --transfers 2 \
  --log-level INFO

echo "=== Backup finalizado en $(date -Iseconds) ==="
EOF

sudo chmod +x /usr/local/bin/backup-offsite.sh

El set -euo pipefail hace que el script aborte ante cualquier error. El exec >> redirige stdout y stderr al log de una sola vez.

Añade una entrada en el crontab de root para ejecutar todos los días a las 3 de la mañana:

sudo crontab -e

Añade la línea:

0 3 * * * /usr/local/bin/backup-offsite.sh

Guarda y sal. El cron lee el crontab automáticamente — no hace falta reiniciar el servicio.

Ejecuta la verificación:

rclone check /var/www b2-crypt:var-www --one-way

El flag --one-way solo verifica que todo archivo local exista en el remoto — útil porque el crypt puede añadir metadatos que confunden checks bidireccionales. La salida 0 differences found significa que todos los archivos coinciden.

Restaura un directorio de prueba:

mkdir -p /tmp/restore-test
rclone copy b2-crypt:var-www/sitio-ejemplo /tmp/restore-test --progress

Tras la descarga, compara algunos archivos con diff o md5sum contra el origen en /var/www/sitio-ejemplo. Si coinciden, la cadena está íntegra. Borra /tmp/restore-test después.