NAS 数据安全：从零搭建 3-2-1 备份策略

很多朋友把 NAS 买回家，第一件事就是往里塞照片、电影、工作文档，然后心安理得地认为数据就安全了。直到某天硬盘发出异响、误删了重要文件夹，或者遭遇勒索病毒，才追悔莫及。NAS 不是保险箱，单盘、单机、单点，任何一环出问题都可能让你几年的数据积累瞬间清零。今天我们就来聊聊，如何利用手头的 NAS，搭建一套真正靠谱的 3-2-1 备份体系。

什么是 3-2-1 备份原则

3-2-1 是数据备份领域的黄金法则：至少保留 3 份数据副本，使用 2 种不同的存储介质，其中 1 份存放在异地。

具体到 NAS 场景，可以这样理解：

3 份副本：原始数据（NAS 主存储） + 本地备份（另一块盘或另一台设备） + 异地备份（云端或亲友家）
2 种介质：比如 NAS 机械硬盘 + 外置 SSD，或者 NAS + 云存储
1 份异地：防止火灾、盗窃、雷击等物理灾难

很多人的误区是：RAID 1 或 RAID 5 就算备份了。其实 RAID 只是冗余，防硬盘故障，防不了误删、病毒和灾难。真正的备份，必须有一份独立于主存储的副本。

第一步：启用 NAS 自带备份套件

群晖和威联通都提供了强大的免费备份工具，我们先用它们搞定本地备份。

群晖 Hyper Backup

打开套件中心安装 Hyper Backup，然后：

选择“本地文件夹和 USB”作为备份目的地
选定要备份的共享文件夹（比如 home、photo、docker 数据卷）
选择备份计划（建议每天凌晨 2 点增量备份）
开启“启用备份循环”，保留最近 7 个版本 + 每月 1 个版本

配置完成后，Hyper Backup 会生成一个加密的备份包，存到另一块硬盘或外接 USB 硬盘上。

威联通 Hybrid Backup Sync

类似操作，在 Hybrid Backup Sync 里创建“备份作业”，目的地选择“本地 NAS”或“外接存储”。记得勾选“压缩”和“加密”，节省空间同时保护隐私。

第二步：异地备份到云存储

本地备份防不了火灾和盗窃，所以必须把一份数据放到另一个物理位置。推荐两种方式：

方案 A：Cloud Sync 到对象存储

群晖 Cloud Sync 支持阿里云 OSS、腾讯云 COS、Backblaze B2 等。以 Backblaze B2 为例（价格便宜，10GB 内免费）：

在 B2 创建 Bucket，设置访问密钥
Cloud Sync 选择“Backblaze B2”，输入密钥
选择要同步的文件夹，方向选“双向”或“仅上传”
开启“加密”选项，NAS 端加密后再上传

方案 B：Hyper Backup 到 WebDAV

如果你有另一台异地 NAS 或一台便宜的 VPS，可以用 WebDAV 协议。Hyper Backup 里选择“远程 NAS”，填入 WebDAV 地址，就能把加密备份包推送到远端。

第三步：关键数据额外快照

除了常规备份，对高频变动的目录（比如数据库、笔记库）建议开启快照。

群晖 Btrfs 文件系统支持快照：

# 在控制面板 -> 共享文件夹 -> 启用“启用快照计划”
# 设置每 6 小时一个快照，保留 24 小时内每小时的版本

威联通则用“快照工作站”应用，同样可以设置定时快照。快照的好处是秒级恢复，误删文件时直接右键“还原”即可。

第四步：自动验证备份完整性

备份了不等于能恢复。很多人的备份文件已经损坏多年却不自知。建议每月做一次恢复演练：

在 Hyper Backup 里选择“还原”，恢复到一台临时虚拟机或新文件夹
随机抽几个文件，检查能否正常打开
验证备份包的校验和（Hyper Backup 自带完整性校验）

也可以写个简单脚本，每月自动下载一个备份包到本地校验：

#!/bin/bash
# 每月 1 号执行
rclone copy remote:nas-backup/test-file.txt /tmp/backup-check/
if cmp -s /tmp/backup-check/test-file.txt /volume1/data/test-file.txt; then
    echo "备份校验通过" >> /var/log/backup-check.log
else
    echo "备份校验失败" >> /var/log/backup-check.log
fi

总结

3-2-1 备份并不复杂，核心就三步：本地多副本、云端异地存、定期做验证。花半小时配置好，之后每天自动运行，你就能睡个安稳觉了。记住，数据安全不是买回来的，是配置出来的。现在就打开你的 NAS 管理后台，把备份计划设起来吧。