REDZ RPM repository

Пакеты REDZ для AlmaLinux, RHEL, Rocky и Fedora 8/9/10, x86_64.

1. Установка по подписке: 3 шага

Этот раздел — для тех, кто купил бэкапы как услугу. Всё, что в разделах ниже занимает десять шагов, здесь делает сервер подписки: он выделяет вам место в хранилище, придумывает пароль репозитория и раскладывает ключи. От вас — одна строка, выданная при покупке.

Больше ничего готовить не нужно: ни пароля хранилища, ни ssh-ключа, ни пароля репозитория.

dnf install -y https://rpm.redz.tech/redz-release-latest.noarch.rpm
REDZ_Licence set rz-c00042-s01:8f2c…
dnf install -y redz-backup redz-borg

cd /redz/prog/backup
printf 'MANAGED=1\n' > config.local
chmod 600 config.local
REDZ_Backup enroll

создан ключ доступа к хранилищу: /redz/prog/backup/id_managed
настройки записаны: /redz/prog/backup/config.managed

REDZ_Backup doctor
REDZ_Backup selftest
systemctl enable --now redz-backup-db.timer redz-backup-files.timer redz-backup-maint.timer

Что дальше происходит само

Свой пароль репозитория можно посмотреть в любой момент: grep REPO_PASSPHRASE /redz/prog/backup/config.managed. Сохраните его вне сервера — это ускорит восстановление, если наш сервис окажется недоступен в неудачный момент.

2. Что нужно приготовить до начала

Разделы 2–4 — для тех, у кого своё хранилище и кто настраивает всё сам. Если у вас подписка, вам достаточно раздела 1, а сюда можно не заходить.

Четыре вещи. Три из них выдаёт администратор репозитория, четвёртую вы придумываете сами.

Дальше идут десять шагов подряд. Каждый показывает команду, ожидаемый ответ и точную строку, которую надо вписать. Ничего додумывать не нужно.

3. Установка с нуля: 10 шагов

dnf install -y https://rpm.redz.tech/redz-release-latest.noarch.rpm

REDZ_Licence set ВАШ-ЛОГИН:ВАШ-ПАРОЛЬ

ключ записан: /etc/redz/licence
  ok    ключ принят (el10/x86_64)
  ok    ключ подписи добавлен в базу rpm
  ok    метаданные загружены, ключ подписи принят dnf

dnf install -y redz-backup redz-borg

openssl rand -hex 24

7f3a91c4be05d2ea6c18470b9d3fa25e8c07b1449de6a03f

Название:  REDZ_Backup — имя-вашего-сервера
Пароль:    7f3a91c4be05d2ea6c18470b9d3fa25e8c07b1449de6a03f
Заметка:   Пароль репозитория бэкапов. Без него архивы этого сервера
           нечитаемы навсегда, сброса нет. Восстановление: этот пароль
           + файл RESTORE.md рядом с репозиторием в хранилище.

ssh-keygen -t ed25519 -N "" -f /root/.ssh/id_sbox -C "rzbackup@$(hostname -f)"

ssh-copy-id -p 23 -s -i /root/.ssh/id_sbox.pub ВАШ_ЛОГИН@eu1.node.redz.tech

ssh -p 23 -i /root/.ssh/id_sbox ВАШ_ЛОГИН@eu1.node.redz.tech pwd

cd /redz/prog/backup
cp config.local.example config.local
chmod 600 config.local
vi config.local

REPO_PASSPHRASE="7f3a91c4be05d2ea6c18470b9d3fa25e8c07b1449de6a03f"
RELAY_SECRET="rz-server-2026-xxxxxxxxxxxxxxxxxxxx"
SBOX_KEY="/root/.ssh/id_sbox"
SBOX_USER="uXXXXXX"

vi /redz/prog/backup/mysql.cnf
chmod 600 /redz/prog/backup/mysql.cnf

[client]
user=root
password=ВАШ_ПАРОЛЬ_MYSQL

MYSQL_DEFAULTS_FILE="/redz/prog/backup/mysql.cnf"

CREATE USER 'rzbackup'@'localhost' IDENTIFIED BY 'ПАРОЛЬ';
GRANT ALL PRIVILEGES ON *.* TO 'rzbackup'@'localhost';

REDZ_Backup doctor --send

all checks passed, 0 warnings

REDZ_Backup selftest

this client and this storage work together

REDZ_Backup discover

shop → /redz/prog/backup/sites.d/shop.conf.suggested
blog → /redz/prog/backup/sites.d/blog.conf.suggested
review the .suggested files, then rename them to .conf

cd /redz/prog/backup/sites.d
cat shop.conf.suggested
mv shop.conf.suggested shop.conf

ROOT="/var/www/shop"
DB=("shop_main")
PROFILE="bitrix"

REDZ_Backup run all

REDZ_Backup status

systemctl enable --now redz-backup-db.timer redz-backup-files.timer redz-backup-maint.timer
systemctl list-timers 'redz-backup*' --no-pager

4. Готовый пример config.local целиком

Так выглядит рабочий файл на сервере с MySQL под паролем. Скопируйте, замените значения на свои:

#!/usr/bin/env bash
# /redz/prog/backup/config.local — права 0600, пакетом не заменяется.

# --- обязательное -----------------------------------------------------------
REPO_PASSPHRASE="7f3a91c4be05d2ea6c18470b9d3fa25e8c07b1449de6a03f"
RELAY_SECRET="rz-server-2026-xxxxxxxxxxxxxxxxxxxx"
SBOX_KEY="/root/.ssh/id_sbox"

# --- хранилище, если отличается от умолчаний ---------------------------------
SBOX_USER="uXXXXXX"
SBOX_HOST="eu1.node.redz.tech"

# --- MySQL, если root без пароля не пускает ----------------------------------
MYSQL_DEFAULTS_FILE="/redz/prog/backup/mysql.cnf"

# --- необязательное ----------------------------------------------------------
# Свои каталоги в бэкап системы, вдобавок к штатному списку:
EXTRA_PATHS=( "/opt/scripts" "/etc/haproxy" )

# Подпись в уведомлениях. Пусто = имя хоста:
RELAY_FROM="shop-prod"

# Сколько дней хранить логи агента:
LOG_KEEP_DAYS=30

Полный список того, что можно писать в этот файл, — в следующем разделе. Всё, чего вы не написали, берётся из /redz/prog/backup/config.

5. Справочник: все настройки config.local

Два файла. config — умолчания, приезжают с пакетом и заменяются при обновлении. config.local — ваши значения и секреты; пакет его не создаёт, не меняет и не удаляет. Правьте только его.

Оба — фрагменты bash. Формат строк: ИМЯ="значение", без пробелов вокруг =. Массивы: ИМЯ=( "первое" "второе" ).

Управляемый режим (подписка)

Присланное сервером лежит в config.managed — это генерируемый файл, правки в нём затираются при ближайшей сверке. Порядок чтения: config → config.managed → config.local, то есть ваши строки сильнее наших. Если вы задали в config.local то, что присылаем мы, doctor об этом предупредит — иначе смена хранилища с нашей стороны молча не доедет.

Хранилище

Сколько хранить

Значения передаются borg prune дословно.

Когда считать бэкап просроченным

В часах. doctor сообщит, если набор не обновлялся дольше.

Что попадает в бэкап системы

Штатно в набор system входят: конфигурация nginx, php, MySQL, letsencrypt, sshd, sysconfig, systemd, кроны, hosts/resolv.conf/fstab, /etc/redz, /redz/bin, /redz/prog, /redz/service, /redz/build. Несуществующие пути пропускаются, поэтому один список работает на всех серверах.

Кроме файлов набор сохраняет слепок состояния сервера: список пакетов, включённые репозитории, список служб, разметку дисков, сеть, правила фаервола, версии php и nginx, кроны.

MySQL

Умолчание опций: --single-transaction --quick --hex-blob --no-tablespaces --set-gtid-purged=OFF --skip-dump-date. Набор автоматически сверяется с --help самого бинарника: MariaDB не знает --set-gtid-purged, и он молча отбрасывается. --skip-dump-date убирать нельзя — без него каждый дамп отличается от вчерашнего строкой с датой, и дедупликация перестаёт работать.

Дампы кладутся несжатыми: движок дедуплицирует их против вчерашних, поэтому 30 почасовых дампов одной базы стоят немногим больше одного. Предварительное сжатие это уничтожит. Замерено: повторный дамп неизменной базы занимает 116 байт.

Отдельно сохраняются пользователи и права (_grants.sql) — без них восстановление половинчатое. Таблицы MyISAM не покрываются --single-transaction, о таких прогон предупреждает отдельной строкой.

Состояние и логи

Уведомления

Через реле (по умолчанию) — токен бота остаётся на стороне реле, на сервере его нет:

Напрямую своим ботом — если реле не используется, поставьте NOTIFY="telegram":

Как ведут себя уведомления

Сообщение сначала попадает в очередь на диске, потом отправляется. Повторяемая ошибка оставляет его там до следующего запуска. Всё, что не 2xx и не 4xx, считается повторяемым: потерять сообщение о сбое из-за неузнанного ответа хуже, чем прислать его дважды.

Первое падение уходит сразу, повторы молчат до NOTIFY_REPEAT_H, возврат в норму присылается один раз.

6. Справочник: конфиг сайта

По файлу на приложение: /redz/prog/backup/sites.d/<имя>.conf. Имя файла становится именем набора: shop.conf → набор site-shop со своим репозиторием, своей ретенцией и своей командой восстановления.

Пакет эти файлы не создаёт и при удалении не уносит.

#!/usr/bin/env bash
ROOT="/var/www/shop"          # обязательно, каталог должен существовать
OWNER="nginx:nginx"           # владелец, восстанавливается вместе с файлами
DB=("shop_main" "shop_stat")  # какие базы относятся к этому приложению
PROFILE="bitrix"              # готовый набор исключений, см. ниже
EXCLUDE=(
	"**/upload/tmp/**"        # свои исключения, добавляются к профилю
)
PRE_HOOK="/usr/local/bin/shop-maintenance on"    # необязательно
POST_HOOK="/usr/local/bin/shop-maintenance off"  # необязательно

Других полей нет. Обязательное только одно — ROOT. Шаблоны исключений пишутся в форме **/каталог/**: эта форма одинаково понятна и borg, и restic.

Хуки

PRE_HOOK выполняется до снятия копии, POST_HOOK — после. Нужны, когда для согласованного снимка приложение надо перевести в режим обслуживания или сбросить очередь на диск. Если не нужны — не пишите их вовсе.

Сайты с общим ядром

Если несколько доменов используют одно ядро через симлинки и одну базу — делайте один набор с ROOT на общий родительский каталог. Восстановить один домен отдельно всё равно нельзя: без ядра и базы он ничего не значит. borg хранит симлинки симлинками, поэтому общая часть попадёт в архив один раз, а не по разу на домен.

7. Профили исключений

Лежат в /redz/prog/backup/profiles/, подставляются полем PROFILE.

Свой профиль — новый файл profiles/<имя>.excl, по шаблону на строку. Называйте его иначе, чем штатные: обновление пакета заменяет файлы профилей.

8. Все команды

Код возврата: 0 — успех, 1 — ошибка. Годится для собственного мониторинга.

9. Восстановление

Всё по умолчанию выбирает безопасный вариант: перезапись рабочих данных должна быть решением, а не побочным эффектом.

База

REDZ_Backup restore db shop_main

Поднимет базу под новым именем shop_main_restore_20260817_1430, исходную не тронет. Дальше сравниваете и переключаетесь сами.

REDZ_Backup restore db shop_main --at "2026-08-15 03:00"   # состояние на момент
REDZ_Backup restore db shop_main --to shop_test            # под своим именем
REDZ_Backup restore db shop_main --force                   # перезаписать исходную

--force перед перезаписью снимает дамп текущего состояния в run/pre-restore/. Если снять не удалось — восстановление отменяется.

Сайт

REDZ_Backup restore site shop

По умолчанию ничего не пишет — печатает, что было бы сделано. Посмотрели, согласились:

REDZ_Backup restore site shop --yes                    # на место
REDZ_Backup restore site shop --target /tmp/check      # в другой каталог
REDZ_Backup restore site shop --yes --with-db          # вместе с базами из DB=()

Отдельные файлы

REDZ_Backup restore path /etc/nginx/nginx.conf --set system

Всегда извлекает рядом (в RESTORE_DIR), никогда на место: вслепую восстановленный /etc запирает снаружи. Посмотрите результат и скопируйте руками.

Момент времени

--at берёт ближайший снапшот не позже указанного момента. Форматы: 2026-08-15, "2026-08-15 03:00". Если такого снапшота нет — отказ с ненулевым кодом, а не молчаливый откат на свежий: смысл --at в том, чтобы взять состояние «до поломки».

Если сервера больше нет

Рядом с репозиториями в хранилище лежит RESTORE.md — открытым текстом, обновляется при каждом прогоне. В нём движок, адреса репозиториев, доступ и готовые команды. Пароля в нём нет. Нужны только он, ваш пароль и любой компьютер с borg:

borg list 'ssh://ВАШ_ЛОГИН@eu1.node.redz.tech:23/./REDZ_Backup/system'
borg extract --dry-run --list 'ssh://…/system::имя-архива'
borg extract 'ssh://…/system::имя-архива' etc/nginx

10. Монтирование

Две разные команды, и разница существенная.

REDZ_Backup mount system
ls -la /mnt/rzbackup/
cp /mnt/rzbackup/system-20260817T032000Z/etc/nginx/nginx.conf /root/
REDZ_Backup umount

Данные в хранилище зашифрованы, но при монтировании расшифровываются на лету — пароль берётся из config.local, вводить ничего не надо. Монтируется только на чтение, испортить архив нельзя.

Нужен FUSE. Обычно уже стоит; если нет — dnf install -y fuse-libs fuse-sshfs.

11. Что где лежит на сервере

dnf remove redz-backup уносит программу, юниты и симлинк, но оставляет config.local, конфиги сайтов, логи и страховочные дампы.

12. Ошибки и что они значат

enroll: подпись конфигурации неверна — ответ отброшен

Ответ пришёл не от нас или испорчен по дороге. Настройки при этом не тронуты — агент продолжает работать на прежних. Проверьте, что ENROLL_URL не подменён, и что /redz/prog/backup/enroll.pub на месте; если файла нет — dnf reinstall redz-backup.

enroll: конфигурация выписана на «другой-сервер»

Настройки привязаны к имени сервера и на чужом не применятся. Так и задумано. Бывает после переименования хоста или переезда на новую машину — напишите в поддержку, лицензию перепривяжут.

enroll: ключ отброшен (не разрешён серверу)

Сервер прислал настройку, которую агент не обязан принимать. Остальные применены, работать можно. Сообщите нам — это наша ошибка, не ваша.

enroll: место в хранилище ещё не выделено (HTTP 409)

Лицензия верна, но раздел хранения под ваш сервер пока не создан. Обычно вопрос минут после оплаты. Повторите позже — ничего перенастраивать не нужно.

run: сервер подписки недоступен, работаем на прежних настройках

Это предупреждение, а не ошибка: бэкап сделан. Так и задумано — наш сервис не должен уметь останавливать ваши бэкапы. Если строка держится сутками, напишите нам.

run: подписка истекла или отозвана

Новые бэкапы не создаются. Уже созданные никуда не делись и читаются: snapshots, mount и restore работают как обычно. Возобновите подписку — агент подхватит сам в течение ENROLL_REFRESH_H часов, либо ускорьте это командой REDZ_Backup enroll.

doctor: config.local перекрывает присланное сервером: SBOX_HOST …

В config.local лежит строка, которая сильнее присланной нами. Пока она там, смена хранилища с нашей стороны до этого сервера не доедет. Если вы её ставили осознанно — всё в порядке, предупреждение можно не трогать. Если нет — удалите строку.

REDZ_Licence set отвечает FAIL 401 — ключ не принят

Ключ неверный или отозван. Проверьте, что скопировали целиком, вместе с частью до двоеточия. Запросите новый у администратора.

dnf: Failed to download metadata … Signing key not found

Подпись метаданных проверяется по отдельному хранилищу ключей dnf, которое стирает dnf clean all. Заполнить его можно только неинтерактивно:

dnf -y makecache --repo=redz

Проще: REDZ_Licence set <тот же ключ> — он делает это сам.

dnf показывает 0 пакетов и ничего не сообщает

В redz.repo стоит skip_if_unavailable=True, чтобы недоступный репозиторий не ронял общесистемный dnf update. Плата: неверный ключ ничего не говорит. Проверьте явно:

REDZ_Licence check

dnf не видит только что вышедшую версию

Кэш метаданных живёт час:

dnf upgrade --refresh redz-backup

doctor: REPO_PASSPHRASE is empty — set it in …/config.local

Не выполнен шаг 7: в config.local нет строки REPO_PASSPHRASE="…". До этого агент работать не будет и не должен: архив, который потом никто не прочтёт, хуже отсутствующего.

doctor: RELAY_SECRET is empty

Нет строки RELAY_SECRET="…". Возьмите секрет у администратора. Если уведомления не нужны вовсе — впишите NOTIFY="none", но тогда о сбоях вы не узнаете.

doctor: ssh to … failed — key not installed?

Хранилище не приняло ключ. Проверьте вручную:

ssh -p 23 -i /root/.ssh/id_sbox ВАШ_ЛОГИН@eu1.node.redz.tech pwd

Спрашивает пароль — вернитесь к шагу 6. Не находит файл ключа — проверьте путь в строке SBOX_KEY.

doctor: … forbids execution или движок не стартует

Каталог /redz/prog/backup/run/tmp лежит на разделе, смонтированном с noexec. Встроенный borg распаковывает свои библиотеки во временный каталог при каждом запуске, и на noexec это невозможно. Раздел с /redz должен допускать исполнение.

doctor: run/tmp is a symlink

Агент отказывается работать с символьной ссылкой в служебном каталоге. Удалите ссылку — он создаст обычный каталог сам.

doctor: borg … is older than 1.2.5

Дистрибутивный borg слишком стар. Поставьте пакет — агент возьмёт его автоматически, править конфигурацию не нужно:

dnf install -y redz-borg

doctor: clock: … off the relay

Часы сервера разъехались. При расхождении больше суток реле отвергнет каждое сообщение как устаревшее, и выглядеть это будет как «уведомления не приходят». Включите синхронизацию времени: timedatectl set-ntp true.

doctor: spool holds N unsent message(s)

Сообщения копятся и не уходят. Причину покажет:

REDZ_Backup notify flush

doctor: предупреждение про юниты в /etc/systemd/system

Там лежат копии юнитов, перекрывающие пакетные, и обновления до них не дойдут. Остались от установки до появления пакета — удалите копии и выполните systemctl daemon-reload.

Прогон: MyISAM tables are not covered by --single-transaction

Предупреждение, не ошибка: перечисленные таблицы могли попасть в дамп в несогласованном состоянии. Лечится переводом их в InnoDB.

Прогон: mysqldump …: dump incomplete

Дамп оборвался — агент проверяет наличие завершающей строки, которую mysqldump пишет в конце. Что именно ответил mysqldump, смотрите в /redz/prog/backup/log/.

Прогон: Failed to create/acquire the lock … (timeout)

Репозиторий заблокирован: либо осталось смонтированное, либо оборвался предыдущий прогон.

systemctl list-units 'redz-backup*'   # убедиться, что прогон правда не идёт
REDZ_Backup umount                    # если монтировали
REDZ_Backup unlock                    # снять оставшийся замок

Снятый замок при работающем прогоне даст двух писателей в одном репозитории — сначала убедитесь, что прогон не идёт.

set 'X' has no snapshot at or before …

На запрошенный момент снапшота нет. Посмотрите, какие есть:

REDZ_Backup snapshots X

Молча взять более свежий агент не станет — это противоречило бы смыслу --at.

Сайт не попал в бэкап

Проверьте, что файл называется .conf, а не .conf.suggested, и что путь в ROOT существует. Список того, что агент видит:

REDZ_Backup status

13. Состав репозитория

Ключ подписи

Первый пакет ставится по прямой ссылке и подтверждён только TLS — с чего-то надо начать. Сверьте отпечаток один раз, дальше подписи проверяет dnf сам:

C401 C72E 277D B92F CB13  CCD3 AABA 7A0C F951 55EF

RPM-GPG-KEY-redz · проверить: gpg --show-keys RPM-GPG-KEY-redz

Программы REDZ ставятся не в /usr и /etc, как принято, а в /redz/prog/; исполняемые файлы симлинкуются в /usr/bin, чтобы команда работала по имени.