3-2-1 備份原則實際怎麼落地（含自動驗證腳本）

charles

大家都聽過 3-2-1 備份，但很少人真的做到。
更少人驗證過備份能不能還原。

這篇講實作。



3-2-1 是什麼

• 3 份資料（1 份正本 + 2 份備份）
  
• 2 種不同的媒體
  
• 1 份異地
  

為什麼是這三個數字：

• 3 份 → 一份壞掉還有兩份
  
• 2 種媒體 → 同型號硬碟可能同批次故障
  
• 1 份異地 → 火災、竊盜、淹水會一次帶走所有在場的東西
  

很多人的現狀

• HA 有自動備份 ✓
  
• 備份存在同一台機器上 ✗
  
• NAS 有 RAID ✓（但 RAID 不是備份）
  
• 從來沒試過還原 ✗
  

RAID 不是備份這件事要講清楚

RAID 防的是硬碟故障。它完全防不了：

• 誤刪檔案（會同步刪掉）
  
• 勒索軟體加密（會同步加密）
  
• 檔案系統損毀
  
• RAID 控制器壞掉
  
• 火災、竊盜、淹水
  
• 人為操作錯誤
  

RAID 是「可用性」，備份是「可恢復性」。兩回事。

智能家居的實際落地方案

第 1 份：正本

• HA 主機的 /config
  
• NAS 上的 Docker 設定
  
• 路由器設定
  

第 2 份：本地自動備份（NAS）

1. # HA：用 Samba Backup 或 Google Drive Backup 附加元件
2. # 或者用內建的備份位置設定（2025 之後的版本）
4. # NAS 上的 Docker 設定：一個腳本
5. #!/bin/bash
6. DEST=/volume1/backup/configs/$(date +%F)
7. mkdir -p "$DEST"
9. tar czf "$DEST/docker-configs.tar.gz" \
10.   -C /volume1/docker \
11.   docker-compose.yml \
12.   mosquitto/config \
13.   zigbee2mqtt/data/configuration.yaml \
14.   zigbee2mqtt/data/coordinator_backup.json \
15.   zigbee2mqtt/data/database.db \
16.   frigate/config
18. # 路由器設定（OpenWrt）
19. ssh root@192.168.1.1 "sysupgrade -b - " > "$DEST/openwrt.tar.gz"
21. # 保留 30 天
22. find /volume1/backup/configs -maxdepth 1 -type d -mtime +30 -exec rm -rf {} +

複製代碼

第 3 份：異地

三個選項：

• 雲端 —— Google Drive、OneDrive、Backblaze B2、rclone 到任何地方
  
• 實體 —— 每個月拉一份到隨身碟，放公司或娘家
  
• 朋友家的 NAS —— 互相備份（群暉的 Hyper Backup 支援）
  

雲端的加密很重要：

1. # 用 rclone + crypt 遠端，先加密再上傳
2. rclone sync /volume1/backup/configs crypt-gdrive:ha-backup \
3.   --transfers 4 --checksum

複製代碼

備份裡面有 secrets.yaml 和各種權杖，
明文丟到雲端等於把家裡的鑰匙交出去。



最重要的一步：驗證（幾乎沒人做）

沒驗證過的備份等於沒有備份。

我自己踩過的坑：
備份檔案每天都有產生，大小看起來也正常 ——
直到真的要還原時才發現裡面是空的。

原因是 mysqldump 的密碼抓錯，但腳本的離開碼只反映 gzip，
所以「看起來成功」。

三層驗證

第一層：格式

1. gzip -t backup.tar.gz && echo "格式 OK"
2. tar tzf backup.tar.gz > /dev/null && echo "可解壓"

複製代碼

注意：空輸入壓出來的 20 bytes gz 檔，gzip -t 完全會通過。

第二層：大小

1. SIZE=$(stat -c%s backup.tar.gz)
2. if [ "$SIZE" -lt 1000000 ]; then
3.     echo "備份太小（$SIZE bytes），可能是空的"
4.     exit 1
5. fi

複製代碼

第三層：內容

1. # 確認關鍵檔案真的在裡面
2. for f in configuration.yaml secrets.yaml .storage/core.entity_registry; do
3.     tar tzf backup.tar.gz | grep -q "$f" || {
4.         echo "缺少 $f"
5.         exit 1
6.     }
7. done
9. # 資料庫的話數一下表
10. zcat db.sql.gz | grep -c "CREATE TABLE"

複製代碼

完整的驗證腳本

1. #!/bin/bash
2. # /volume1/scripts/verify_backup.sh
3. set -u
5. BACKUP_DIR=/volume1/backup/configs
6. TODAY=$(date +%F)
7. F="$BACKUP_DIR/$TODAY/docker-configs.tar.gz"
8. HA_URL="http://192.168.1.50:8123/api/webhook/backup-status-xxxxxxxx"
10. fail() {
11.     echo "[FAIL] $1"
12.     curl -s -X POST -H "Content-Type: application/json" \
13.       -d "{"status":"fail","reason":"$1"}" "$HA_URL"
14.     exit 1
15. }
17. # 1. 檔案存在
18. [ -f "$F" ] || fail "今天的備份檔不存在"
20. # 2. 格式
21. gzip -t "$F" 2>/dev/null || fail "gzip 格式損毀"
22. tar tzf "$F" > /dev/null 2>&1 || fail "tar 無法解壓"
24. # 3. 大小
25. SIZE=$(stat -c%s "$F")
26. [ "$SIZE" -gt 100000 ] || fail "檔案太小（$SIZE bytes）"
28. # 4. 內容
29. LIST=$(tar tzf "$F")
30. for must in "docker-compose.yml" "mosquitto/config" \
31.             "zigbee2mqtt/data/coordinator_backup.json"; do
32.     echo "$LIST" | grep -q "$must" || fail "缺少 $must"
33. done
35. # 5. 真的解壓一次到暫存目錄（最徹底）
36. TMP=$(mktemp -d)
37. tar xzf "$F" -C "$TMP" 2>/dev/null || fail "解壓失敗"
38. [ -s "$TMP/docker-compose.yml" ] || fail "docker-compose.yml 是空的"
39. rm -rf "$TMP"
41. echo "[OK] 備份驗證通過（$SIZE bytes）"
42. curl -s -X POST -H "Content-Type: application/json" \
43.   -d "{"status":"ok","size":$SIZE}" "$HA_URL"

複製代碼

接進 HA：備份狀態看得見

1. alias: 備份狀態回報
2. triggers:
3.   - trigger: webhook
4.     webhook_id: backup-status-xxxxxxxx
5.     allowed_methods: [POST]
6.     local_only: true
7. actions:
8.   - action: input_datetime.set_datetime
9.     target: {entity_id: input_datetime.last_backup_check}
10.     data:
11.       datetime: "{{ now().strftime('%Y-%m-%d %H:%M:%S') }}"
13.   - if: "{{ trigger.json.status == 'fail' }}"
14.     then:
15.       - action: notify.mobile_app_charles
16.         data:
17.           title: 備份驗證失敗
18.           message: "{{ trigger.json.reason }}"
19.           data:
20.             push:
21.               interruption-level: time-sensitive
22. mode: single

複製代碼

再做一個「太久沒驗證」的警報：

1. template:
2.   - binary_sensor:
3.       - name: 備份過期
4.         unique_id: backup_stale
5.         device_class: problem
6.         state: >
7.           {{ (now() -
8.               (states('input_datetime.last_backup_check') | as_datetime | as_local)
9.              ).total_seconds() > 172800 }}

複製代碼

超過兩天沒有成功驗證就警報。



每季做一次真的還原演練

驗證腳本只能確認「檔案看起來沒壞」，
不能確認「還原之後真的能跑」。

演練方法：

• 在 Proxmox 或 NAS 上開一台測試用的 HA
  
• 把最近的備份還原上去
  
• 確認：能登入嗎？整合都在嗎？自動化清單完整嗎？
  
• 記錄花了多久
  
• 測完刪掉
  

我第一次演練發現的問題：

• 還原之後所有 Zigbee 裝置是 unavailable
    → 因為 Zigbee 協調器的備份（coordinator_backup.json）沒有在 HA 的備份裡，
    那是 Z2M 的檔案，要另外備份
  
• 某個 HACS 整合沒有一起還原
    → 因為我把 custom_components 放進 .gitignore，
    但也忘了確認 HA 備份有沒有包含它
  

兩個問題都只有演練才發現得了。

Zigbee 網路的備份（特別提醒）

這個最容易漏，而且後果最嚴重。

• Z2M：data/coordinator_backup.json 和 data/database.db
  
• ZHA：在 HA 的 .storage 裡，隨 HA 備份一起走
  

沒有這個檔案的話，換協調器或重建系統時，
幾十個 Zigbee 裝置要全部重新配對 ——
而且電池裝置要一個一個去按重置鍵，有些還在天花板上。

我的排程

1. 每小時：HA 自動備份（保留最近 3 份）
2. 每天 03:00：NAS 打包所有設定
3. 每天 04:00：驗證腳本 + 回報 HA
4. 每天 05:00：rclone 加密上傳雲端
5. 每週日：檢查雲端那份的檔案數量和大小
6. 每月 1 號：手動拉一份到隨身碟
7. 每季：完整還原演練

複製代碼

手動那一步為什麼保留

全自動的東西有一個共同弱點：你不會去看它。

每個月手動做一次，會逼你確認整條鏈還活著。

---

最後一句話：

備份的價值不在於「有做」，在於「需要的時候真的能用」。

而那個只能靠演練確認。