Linux灾备与容灾设计核心是保障故障、误操作、硬件损坏或区域性灾难下数据不丢失、业务可快速恢复，关键在于“可验证的恢复能力”和“分层响应机制”，需明确RPO（如数据库RPO=0）与RTO以指导技术选型。
Linux灾备与容灾设计的核心，是确保系统在故障、人为误操作、硬件损坏甚至区域性灾难发生时，数据不丢失、业务可快速恢复。关键不在“全量备份”，而在“可验证的恢复能力”和“分层响应机制”。
明确RPO与RTO，决定技术选型
RPO（恢复点目标）决定最多能容忍多少数据丢失，RTO（恢复时间目标）决定业务中断多久可接受。例如：数据库要求RPO=0（零丢失）、RTO
- RPO=0 → 考虑MySQL Group Replication、PostgreSQL流复制+同步提交
- RTO
- 跨机房容灾 → 避免强一致同步（延迟高），改用异步复制+应用层幂等+定期校验
分层备份：本地快照 + 远程归档 + 异地验证
单一备份方式风险极高。推荐三层组合：
- 本地层：LVM快照或Btrfs/ZFS快照，秒级创建，用于快速回退误删/配置错误，保留24小时内多个时间点
- 远程层：用rsync、borgbackup或restic加密推送到另一台服务器或对象存储（如MinIO/S3），每日增量+每周全量，保留90天
- 异地层：每月将加密备份包离线拷贝至物理介质（如SATA SSD），存于不同地理位置，防范火灾/洪水等区域性风险
所有备份必须启用校验（如SHA256）并每月执行一次恢复演练——只备份不验证，等于没备份。
自动化监控与故障自愈前置
灾备不是“出事后再救”，而是让多数问题在演变成故障前被拦截：
- 用Prometheus+Alertmanager监控磁盘剩余、备份任务状态、复制延迟（Seconds_Behind_Master）、SSH连通性
- 关键服务部署systemd watchdog，超时自动重启；数据库主从断开超5分钟触发告警并尝试重连
- 编写轻量恢复脚本（如一键挂载快照、一键拉起备用DB），放在独立管理网段的跳板机上，避免生产环境依赖损坏时无法操作
权限与流程：最小化信任，强制留痕
80%的数据事故源于内部误操作或越权。灾备系统本身不能成为新风险点：
- 备份账号仅授予SELECT（数据库）、read-only（文件系统）权限，禁用DROP/DELETE/FORMAT
- 所有备份/恢复操作通过Ansible Playbook或封装脚本执行，记录操作人、时间、参数到审计日志（syslog+ELK）
- 删除备份需双人审批+二次确认，且保留软删除期（如mv到/deleted/目录7天后再清理）
