ネットワーク暗号化差分バックアップ 2026年版

ファイルシステムをネットワーク経由，暗号化，差分バックアップする方法を考えてみました．
ひと昔前は同じ事をするのに結構苦労したのですが，現在ではツールの進化とVPNの様なサービスの進化で，割と簡単に実現出来ます．

tailscale インストール．

curl -fsSL https://tailscale.com/install.sh | sh

実行．

sudo tailscale up

–ssh オプションもあるが，これは tailscale の機能だけで ssh ログインするもので，OS 標準の OpenSSH (sftpとか)を利用する場合は不要らしい．

ブラウザが開くので google アカウントなどでログイン．
100.xxx.xxx.xxx みたいな IP アドレスが割り振られる．
ifconfig すると，tailscale0 みたいなインターフェースがアップリンクしている．
route には出ないが，userspace + wireguard で処理されているので普通のルーティングテーブルには出ない．

接続先のマシンでも同じ事を繰り返す．
100.100.xxx 単位から違うが，100.100.0.0/10 なので，同一ネットワークとなる．

ネットワーク内の状態を確認．登録した別マシンが見える．

tailscale status

この状態で，VPN 経由であらゆるアクセスが可能になっている．正直，手間要らずでかなり感動モノ．

システム起動時に実行されてるか確認．

systemctl status tailscaled

切断．

sudo tailscale down

restic は非常に強力なバックアップツールですが，
運用で重要なのは次の3つです.

• マウント確認
  
• forget + prune
  
• 定期的な check
  

この3つを守れば，かなり安全に運用できます.
rsync を使い慣れた Unix ユーザーなら，違和感無く使いこなせると思います．
但し，挙動の違いは理解しておく必要があります． rsync src dst && rsync dst src とは違います．
元々のバックアップ元に上書きレストアした場合，レポジトリ内に存在しないファイルを消してくれる訳ではなく，飽くまで上書き展開となります．
(rsync では –delete を付けない挙動)

また，mount オプションがありますが，read only なので，さらにそこに rsync する事や，ファイルシステム感覚でマウントして中身を弄る事は基本出来ません．
tar 的な考え方を導入すると解りやすいです．そう，超高機能な tar です．

以下，restic –help の翻訳.

restic は，暗号化されたリポジトリに複数のファイルやディレクトリのバージョンを保存できるバックアップツールです.このリポジトリは，さまざまなバックエンドに保存されます.

使い方：
  restic [コマンド]

利用可能なコマンド：
  backup        ファイルやディレクトリの新しいバックアップを作成
  cache         ローカルキャッシュディレクトリに対して操作
  cat           内部オブジェクトを標準出力（stdout）に表示
  check         リポジトリに誤りがあるかチェック
  diff          2つのスナップショットの差分を表示
  dump          バックアップされたファイルを標準出力（stdout）に表示
  find          ファイル，ディレクトリ，または restic ID を検索
  forget        リポジトリからスナップショットを削除
  generate      マニュアルページおよび自動補完ファイル（bash，zsh）を生成
  help          任意のコマンドについてのヘルプ
  init          新しいリポジトリを初期化
  key           キー（パスワード）を管理
  list          リポジトリ之内のオブジェクトを一覧表示
  ls            スナップショット内のファイルを一覧表示
  migrate       マイグレーションを適用
  mount         リポジトリをマウント
  prune         リポジトリから不要なデータを削除
  rebuild-index 新しいインデックスファイルを作成
  recover       リポジトリからデータを回復
  restore       スナップショットからデータを抽出
  self-update   restic バイナリを更新
  snapshots     すべてのスナップショットを一覧表示
  stats         リポジトリをスキャンし，基本的な統計情報を表示
  tag           スナップショットのタグを変更
  unlock        他のプロセスが作成したロックを解除
  version       バージョン情報を表示

フラグ：
      --cacert file               ルート証明書を読み込むファイル（デフォルト：システム証明書を使用）
      --cache-dir string          キャッシュディレクトリを設定（デフォルト：システムのデフォルトキャッシュディレクトリを使用）
      --cleanup-cache             旧いキャッシュディレクトリを自動削除
  -h, --help                      任意のコマンドについてのヘルプ
      --json                      JSONモードに設定（サポートするコマンドにのみ適用）
      --key-hint string          最初に暗号化を試みるキーID（デフォルト：$RESTIC_KEY_HINT）
      --limit-download int        ダウンロードを最大速度（KiB/s）で制限（デフォルト：無制限）
      --limit-upload int          アップロードを最大速度（KiB/s）で制限（デフォルト：無制限）
      --no-cache                 ローカルキャッシュを使用しない
      --no-lock                  リポジトリをロックしない（読み取り専用リポジトリでの一部の操作を可能にする）
  -o, --option key=value        拡張オプションを設定（key=value，複数回指定可能）
      --password-command string  パスワードを取得するシェルコマンドを指定（デフォルト：$RESTIC_PASSWORD_COMMAND）
  -p, --password-file string    リポジトリパスワードをファイルから読み込む（デフォルト：$RESTIC_PASSWORD_FILE）
  -q, --quiet                    詳細な進行状況報告を出さない
  -r, --repo string              バックアップまたは復元の対象リポジトリ（デフォルト：$RESTIC_REPOSITORY）
      --tls-client-cert string   PEM形式でエンコードされたTLSクライアント証明書とプライベートキーを含むファイルのパス
  -v, --verbose n                詳細な出力（--verboseを複数回指定またはレベルnを指定）

より詳しい情報については，「restic [コマンド] --help」を実行してください.