在客户现场做数据安全检查时，有一个回答出现频率极高：”我们有备份，开了快照。”
这句话通常意味着：没有备份。
快照和备份是两件不同的事，解决的是两类不同的风险。把它们混为一谈，结果是灾难发生时才发现唯一的那份”备份”和源数据一起没了。
一、一张表看清区别
| 维度 | 快照（Snapshot Replication） | 备份（Hyper Backup） |
| 本质 | 某个时间点的元数据副本，记录数据块的变化 | 数据的独立物理副本，存到另一套介质 |
| 文件系统要求 | 仅 Btrfs 支持（ext4 不支持） | 无要求 |
| 创建速度 | 秒级 | 首次全量慢，之后增量 |
| 占用空间 | 小（只存变化块） | 大（完整副本 + 版本） |
| 存放位置 | 同一存储池，或复制到另一台群晖 | 外接硬盘 / 另一台 NAS / 云 / rsync 目标 |
| 主要防御 | 误删、误改、勒索加密、人为破坏 | 设备故障、整机丢失、机房事故、火灾水灾 |
| 恢复速度 | 极快（回滚整个共享文件夹或单文件） | 较慢（需挂载索引、逐块还原） |
| 能否独立于主机存活 | 不能（同存储池时与源数据同故障域） | 能 |
最关键的一行是最后一行。 快照存在同一个存储池里，意味着存储池损毁、设备被盗、机房进水时，快照和源数据一起消失。这就是”快照不是备份”的根本原因——它没有跳出故障域。
二、快照擅长什么，不擅长什么
擅长：
- 误删误改回滚。员工删了一个项目文件夹、设计师覆盖了错误版本，几秒钟回滚到 2 小时前，这是快照最高频的价值。
- 勒索软件的”后悔药”。加密行为发生后，把共享文件夹回滚到加密前的时间点，通常能在几十分钟内恢复业务，不用等备份还原。
- 低成本的版本留档。Btrfs 快照只记录变化块，日常保留几十个版本的空间代价可以接受。
不擅长：
- 存储池本身损毁（Btrfs 元数据损坏、多盘同时故障）
- 整机丢失或物理损坏
- 需要保留半年以上的长期归档
- 跨品牌、跨平台的迁移
快照策略怎么设
建议按”小时级短期 + 日级中期 + 周级长期”组合：
| 层级 | 频率 | 保留 | 用途 |
| 高频 | 每 2–4 小时 | 保留 1 天 | 应对当天误操作 |
| 日备 | 每天 1 次 | 保留 7–14 天 | 应对隔几天才发现的问题 |
| 周备 | 每周 1 次 | 保留 4–8 周 | 应对慢性数据损坏 |
保留太多会吃掉大量空间，也拖慢性能。不要设”每 15 分钟保留 90 天”这种参数——很多”空间莫名消失”就是这么来的。
三、Hyper Backup 的作用：跳出故障域
Hyper Backup 做的是真正的备份：把数据复制到另一套介质上，带上版本历史。它的价值不在于快，而在于当主机已经不存在时，数据还在。
几种目标位置的区别：
| 目标 | 优点 | 风险 |
| 外接 USB 硬盘 | 成本最低，天然离线 | 若常年插着并自动挂载，勒索软件会一起加密 |
| 另一台群晖（异地） | 自动化程度高，可定时 | 若两台机器用同一套域账号/相同凭据，横向感染风险高 |
| 公有云对象存储 | 真异地，抗本地灾难 | 长期成本与带宽；注意选择支持版本控制与对象锁的存储类型 |
| rsync / 第三方服务器 | 兼容性好 | 无版本历史，误删会被同步过去 |
“没有版本历史”是最大的隐性风险。 如果备份目标只有一个当前副本，源端被加密后，下一次备份任务会忠实地把加密后的文件覆盖上去——备份也就跟着废了。所以 Hyper Backup 一定要开多版本备份，且版本数不少于 30。
四、正确的架构：三层，不是二选一
企业环境里，快照和 Hyper Backup 不是替代关系，而是分层：
第一层｜本地快照（分钟级恢复） 同一台设备上的 Btrfs 快照，解决误删、误改、勒索加密的第一时间回滚。目标是”小时内恢复业务”。
第二层｜异地备份（天级恢复） Hyper Backup 到另一台群晖或异地机房，带 30 天以上版本。解决设备损坏、机房事故。目标是”一天内恢复数据”。
第三层｜离线 / 不可变副本（最后防线） 定期轮换的离线硬盘，或支持对象锁（WORM）的不可变存储。解决勒索软件拿到管理员凭据后横扫全网的情况。目标是”即使全网沦陷，还有一份改不掉的副本”。
这三层对应的是经典的 3-2-1 原则：3 份数据、2 种介质、1 份异地。加上”1 份离线或不可变”，就是目前针对勒索软件比较完整的 3-2-1-1。
勒索场景下最容易失效的三个配置
- USB 备份盘常年插着。 勒索软件加密完 NAS 后会遍历挂载的卷，插着的备份盘是第二个目标。要么用完就拔，要么放到独立的物理开关后面。
- 备份目标用了同一套管理员凭据。 攻击者拿到 NAS 管理员密码后，可以直接删除备份任务和备份文件。备份目标应使用独立账号，且该账号只有写入权限、没有删除权限。
- 只做了快照，且快照和源在同一存储池。 加密后回滚确实能救，但如果攻击者顺手破坏了存储池，就什么都没了。
五、比配置更重要的是恢复演练
备份任务显示”成功”，不等于数据能恢复。这两件事之间隔着：索引是否完整、加密密钥是否还在、目标介质是否可读、恢复流程是否有人会走。
建议每季度做一次真实演练，且必须满足：
- 从备份中实际恢复一个完整共享文件夹，不是只看任务日志
- 恢复到一个临时位置，验证文件可打开、大小正确
- 记录恢复耗时（这是灾难发生时唯一有意义的数字）
- 确认加密密钥/密码有独立保存，不只在某个人脑子里
演练记录本身就是审计与等保检查时要看的东西。
六、常见问题
Q1：有快照是不是就不用 Hyper Backup 了？
不行。快照和源数据在同一故障域，无法应对存储池损毁、设备丢失、机房事故。快照解决”数据被改坏”，备份解决”设备没了”。两者是不同层级的防线。
Q2：快照占多少空间？会不会把容量吃光？
快照只记录变化块，占用量取决于数据变更量和保留数量。一个每天变更 50GB、保留 30 个版本的共享文件夹，占用会接近 1.5TB。建议在存储管理器里设置快照空间上限与自动清理策略，并定期检查占用趋势。
Q3：我的存储池是 ext4，能用快照吗？
不能。快照依赖 Btrfs 的写时复制能力。ext4 换 Btrfs 需要重建存储池并恢复数据，不能原地转换。如果设备还新、数据量不大，这是值得规划的一次迁移；如果数据量很大，先确保 Hyper Backup 到位，再排期迁移。
Q4：备份到另一台群晖，会被一起加密吗？
有可能。如果两台设备使用相同或互通的凭据、且备份目标在线可写，攻击者拿到凭据后可以横向清除备份。缓解方式：备份目标使用仅写入的独立账号、开启目标端的快照与不可变策略、或采用离线轮换介质。
Q5：多久做一次恢复演练合适？
季度一次是底线，关键业务建议月度抽查单文件恢复、季度做完整目录恢复。演练不需要全量，但必须真实执行到”文件能被打开”这一步。
数据防护的判断标准只有一个：假设明天主机彻底没了，你手上还有什么。 如果答案只有”同一台机器上的快照”，那就等于没有。
需要评估现有备份架构是否真的能恢复？ 宇麦科技可协助梳理当前的快照策略、备份任务、版本保留与离线副本，输出一份”可恢复性评估”，并配合完成一次真实恢复演练。发现问题比发现得晚便宜得多。
关于宇麦科技：群晖（Synology）代理
宇麦科技是群晖（Synology）代理，长期为中小企业、设计工作室、制造业与机构客户提供企业级网络存储与数据安全服务，业务覆盖 NAS 选型、部署实施、扩容迁移、容灾备份与日常运维。
作为群晖代理商，我们在数据保护上的一条基本判断是：能恢复的才叫备份，配置完成不叫。
- 架构评估：看现有的快照、备份、离线副本是否真的分处不同故障域
- 策略落地：快照保留、备份版本数、异地与不可变副本按业务重要性分级配置
- 恢复验证：协助做真实恢复演练，把”能恢复”从假设变成记录
关于群晖代理，两个常被问到的问题
Q：备份方案是买设备时一起配，还是后面单独做？
一起做。存储池怎么分、快照保留多少、备份落到哪台设备，这些在部署阶段决定，后期再补往往要改存储结构。代理商的价值是在买设备之前就把这套结构规划进去，而不是等出问题再补。
Q：只做群晖吗？
以群晖（Synology）为核心，配套硬盘选型、网络与备份方案；已有其他品牌的存储环境也可以做兼容性评估与迁移规划。
