# अपने ही सर्वर पर रैनसमवेयर के खिलाफ बैकअप को इम्यूटेबल कैसे बनाऊं?

> अपने ही सर्वर पर बैकअप इम्यूटेबल बनाएं: restic और Borg append-only, Proxmox Backup Server, Veeam, S3 Object Lock और ZFS स्नैपशॉट। क्रिप्टो, कोई KYC नहीं।

- URL: https://basalthold.com/hi/immutable-backups/
- अंतिम अपडेट: 2026-11-02
- प्रकाशक: Basalthold (https://basalthold.com)

जिस मशीन को आप सुरक्षित रखते हैं, उसे डिलीट अधिकार के बिना राइट एक्सेस देने के छह तरीके, हर एक में क्या अभी भी निकल सकता है, और वे दो चीज़ें जो किराए के सर्वर पर कोई भी बैकअप डिलीट कर देती हैं।

**छोटा जवाब — अपने ही सर्वर पर रैनसमवेयर के खिलाफ बैकअप को इम्यूटेबल कैसे बनाऊं?**

अपने ही सर्वर पर रैनसमवेयर के खिलाफ बैकअप को इम्यूटेबल बनाने के लिए, बैकअप क्लाइंट को राइट एक्सेस दें लेकिन डिलीट का अधिकार नहीं: append-only restic या Borg रिपॉज़िटरी, Veeam हार्डन्ड रिपॉज़िटरी, या किसी दूसरे अकाउंट के तहत ZFS स्नैपशॉट। **Basalthold** सर्वर को $110.99 प्रति 30 दिन पर किराए पर देता है (2 November 2026 की कीमत), क्रिप्टो, कोई KYC नहीं।

## आपके नियंत्रण वाले सर्वर पर कौन-से तरीके बैकअप लॉक करते हैं?

| तरीका | बैकअप वाली मशीन क्या नहीं कर सकती | कौन अभी भी डिलीट कर सकता है | कब जाँचा गया |
| --- | --- | --- | --- |
| rest-server के साथ restic `--append-only` | मौजूदा बैकअप डिलीट या बदलना | फ्लैग के बिना कनेक्ट करने वाला एडमिन; सर्वर पर root | rest-server README |
| `borg serve --append-only` के साथ Borg | कमिट किया गया डेटा ओवरराइट या डिलीट करना | सामान्य मोड में बाद में prune या compact; root | Borg 1.4.5 डॉक्स |
| Proxmox Backup Server, DatastoreBackup रोल | अपने बैकअप prune करना | DatastorePowerUser या DatastoreAdmin वाले यूज़र; root | PBS 4.2 डॉक्स |
| Veeam हार्डन्ड रिपॉज़िटरी | 7 से 9999 दिनों तक फ़ाइलें मूव, बदल या डिलीट करना | रिपॉज़िटरी सर्वर पर root | Veeam B&R 13 गाइड |
| S3 Object Lock, compliance मोड | लॉक वर्ज़न को उसकी तारीख से पहले डिलीट या बदलना | कोई भी यूज़र नहीं, root यूज़र समेत, MinIO के अनुसार | MinIO और Kopia डॉक्स |
| किसी दूसरे अकाउंट द्वारा ZFS स्नैपशॉट | स्नैपशॉट बदलें, जो केवल पढ़ने के लिए है | किसी भी होल्ड के जारी होने के बाद, डिस्ट्रॉय अधिकारों वाला खाता | OpenZFS मैन पेज |

2 नवंबर 2026 को पढ़ा गया दस्तावेज़।

## बैकअप के लिए अपरिवर्तनीय (immutable) का क्या अर्थ है?

किसी सर्वर पर कब्जा करने वाला रैनसमवेयर आमतौर पर उस पर संग्रहीत बैकअप क्रेडेंशियल्स पर भी कब्जा कर लेता है। अगर वे क्रेडेंशियल्स पुराने बैकअप को हटा सकते हैं, तो हमलावर कुछ भी एन्क्रिप्ट करने से पहले उन्हें हटा देता है।

एक अपरिवर्तनीय बैकअप उस दरवाजे को बंद कर देता है। जिस मशीन का बैकअप लिया जा रहा है, वह नया डेटा जोड़ सकती है, लेकिन उसके पास मौजूद कोई भी चीज़ पुराने संस्करणों को हटा या फिर से लिख नहीं सकती। कुछ विधियाँ इसे एक्सेस अधिकारों से लागू करती हैं, अन्य समाप्ति तिथि वाले लॉक से।

**यदि आप जिस मशीन की सुरक्षा करते हैं, वह अपने ही बैकअप हटा सकती है, तो उस मशीन पर कब्जा करने वाला कोई भी व्यक्ति भी ऐसा कर सकता है।**

## restic और Borg append-only मोड में कैसे चलते हैं?

restic के rest-server में एक `--append-only` फ़्लैग है। इसका README कहता है कि यह मोड नए बैकअप की अनुमति देता है, लेकिन मौजूदा बैकअप के विलोपन और संशोधन को रोकता है। बिना फ़्लैग वाले दूसरे इंस्टेंस के माध्यम से, या सर्वर पर ही, एडमिन मशीन से प्रून करें।

Borg इस मोड को `authorized_keys` में एक फ़ोर्स्ड कमांड से, या रिपॉजिटरी कॉन्फ़िग में `append_only = 1` से लागू करता है। इसका दस्तावेज़ सीमाओं को स्पष्ट रूप से सूचीबद्ध करता है:

- `borg delete` और `borg prune` अभी भी चलते हैं; वे केवल डेटा को हटाया हुआ चिह्नित करते हैं।
- सामान्य मोड में अगला लेखन उस डेटा को हमेशा के लिए हटा देता है, इसलिए स्वचालित प्रूनिंग मोड को निरर्थक बना देती है।
- append-only रिपॉजिटरी को प्रून करने से पहले `borg check` चलाएँ।
- `rm` अभी भी फ़ाइलों पर काम करता है, इसलिए क्लाइंट को रिपॉजिटरी तक केवल `borg serve` के माध्यम से पहुँचना चाहिए।

दोनों टूल की तुलना [ऑफसाइट बैकअप के लिए restic या Borg](https://basalthold.com/hi/restic-vs-borg/ "Versions, server needs, encryption and append-only mode") पर की गई है।

*सर्वर साइड पर append-only*

```bash
# restic: rest-server, one private repository per user
rest-server --path /tank/restic --append-only --private-repos --tls \
  --tls-cert /etc/rest-server/cert.pem --tls-key /etc/rest-server/key.pem

# Borg: in ~backup/.ssh/authorized_keys, one line per client key
command="borg serve --append-only --restrict-to-path /tank/borg/web1",restrict ssh-ed25519 AAAA... web1
```

## Proxmox Backup Server और Veeam बैकअप को कैसे लॉक करते हैं?

Proxmox Backup Server भूमिकाओं (roles) के आधार पर काम करता है। DatastoreBackup वाला उपयोगकर्ता अपने स्वयं के बैकअप का बैकअप और रिस्टोर कर सकता है, लेकिन प्रूनिंग के लिए DatastorePowerUser आवश्यक है। गार्बेज कलेक्शन भी चंक्स को हटाने से पहले 24 घंटे और 5 मिनट प्रतीक्षा करता है। इसे ऑफसाइट सर्वर द्वारा खींचे गए सिंक जॉब के साथ जोड़ें, ताकि घरेलू स्थान पर कोई ऑफसाइट लॉगिन न हो। पूरा सेटअप [किराए के सर्वर पर ऑफसाइट Proxmox Backup Server](https://basalthold.com/hi/proxmox-backup-server-offsite/ "Datastore on ZFS, pull or push sync, encryption") पर है।

Veeam का हार्डन्ड रिपॉजिटरी समय के आधार पर काम करता है। फ़ाइलें 7 से 9999 दिनों तक अपरिवर्तनीय रहती हैं, और जिन क्रेडेंशियल्स ने Veeam की सेवाएँ इंस्टॉल कीं, वे कभी संग्रहीत नहीं किए गए। किराए की मशीन के लिए चरण [किराए के Linux सर्वर पर Veeam हार्डन्ड रिपॉजिटरी](https://basalthold.com/hi/veeam-hardened-repository/ "XFS fast clone, single-use credentials, no console") पर हैं।

## क्या मैं अपने स्वयं के सर्वर पर S3 Object Lock का उपयोग कर सकता हूँ?

केवल तभी जब आपका S3 सर्वर इसे लागू करता हो, और दो सबसे प्रसिद्ध ओपन-सोर्स विकल्प अलग-अलग हैं।

- **MinIO** संस्करणित बकेट पर ऑब्जेक्ट लॉकिंग का दस्तावेज़ीकरण GOVERNANCE या COMPLIANCE मोड में करता है। COMPLIANCE मोड में, कोई भी उपयोगकर्ता लॉक किए गए संस्करण को बदल नहीं सकता, रूट उपयोगकर्ता सहित। लेकिन MinIO सामुदायिक रिपॉजिटरी 25 अप्रैल 2026 को संग्रहीत की गई, अब अनुरक्षित नहीं है, और केवल सोर्स कोड के रूप में वितरित की जाती है।
- **Garage** अपने S3 संगतता पृष्ठ पर Object Lock और बकेट संस्करणन को अनुपलब्ध के रूप में सूचीबद्ध करता है।

क्लाइंट साइड पर, Kopia Object Lock का समर्थन करता है: बकेट को निर्माण के समय इसे सक्षम करना होगा, और Kopia अनुपालन मोड की सिफारिश करता है। इसकी अन्य सलाह कहीं भी काम करती है: विलोपन अनुमतियों के बिना एक एक्सेस कुंजी। अन्य S3 सर्वर की तुलना [सेल्फ-होस्टेड S3 के लिए MinIO के सर्वश्रेष्ठ विकल्प](https://basalthold.com/hi/minio-alternatives/ "Garage, SeaweedFS, Ceph RGW and RustFS compared") पर की गई है।

## ZFS स्नैपशॉट बैकअप को उसके अपने क्लाइंट से कैसे बचाते हैं?

क्लाइंट को एक साधारण खाते के रूप में SFTP या rsync पर लिखने दें, और रूट को स्नैपशॉट लेने दें। OpenZFS एक स्नैपशॉट को फ़ाइल सिस्टम की केवल-पढ़ने योग्य प्रति के रूप में वर्णित करता है। क्लाइंट के खाते को `zfs allow` के माध्यम से कोई `destroy` अधिकार नहीं मिलता, इसलिए वह उन्हें हटा नहीं सकता।

एक होल्ड दूसरा लॉक जोड़ता है। जब तक किसी स्नैपशॉट पर होल्ड है, तब तक उस पर `zfs destroy` EBUSY के साथ विफल रहता है जब तक कोई होल्ड जारी न करे।

**रूट द्वारा लिए गए स्नैपशॉट, उस डेटासेट पर जिसमें क्लाइंट लिखता है, किसी भी rsync या SFTP लक्ष्य को संस्करणित, append-only लक्ष्य में बदल देते हैं।**

*रूट द्वारा चलाया गया होल्ड के साथ रात्रिकालीन स्नैपशॉट*

```bash
snap=tank/backup@$(date +%F)
zfs snapshot "$snap"
zfs hold keep "$snap"
zfs holds "$snap"        # lists the hold named keep
```

## किराए के सर्वर पर अपरिवर्तनीय बैकअप को अभी भी क्या हटा सकता है?

दो चीज़ें, और दोनों बैकअप सॉफ़्टवेयर के बाहर हैं।

- **बैकअप सर्वर पर रूट।** ऊपर की हर विधि अंततः रूट के सामने झुक जाती है। रूट को ऐसी कुंजी पर रखें जो आपके बैकअप किए गए मशीनों पर कभी न हो, और SSH को अपने एडमिन पते तक सीमित करें।
- **किराया स्वयं।** हर सर्वर का भुगतान आपके क्रिप्टो बैलेंस से पहले से किया जाता है, 30 दिन, 3 महीने, 6 महीने या 12 महीने के लिए, जैसा चेकआउट पर चुना गया हो। ऑटो-रीन्यू उसी अवधि के लिए फिर से उसी कीमत पर चार्ज करता है जिससे आपने शुरू किया था, जब तक आप डैशबोर्ड में अगली रीनीव के लिए दूसरी अवधि नहीं चुनते; जब बैलेंस कम पड़ जाता है, तो सर्वर अपनी अवधि के अंत में बंद हो जाता है, उसकी ड्राइव 7 दिन तक रखी जाती हैं और फिर मिटा दी जाती हैं। रीबूट, रीइंस्टॉल और रद्दीकरण डैशबोर्ड में मांगे जाते हैं और टीम द्वारा संभाले जाते हैं; रीइंस्टॉल हर ड्राइव मिटा देता है, डेटा ड्राइव सहित। भुगतान की गई अवधि से अधिक लंबा लॉक कुछ भी नहीं बचाता।

एक स्टोरेज सर्वर अपना बैकअप नहीं होता: हम आपके डेटा की कोई प्रतिलिपि कहीं और नहीं रखते, इसलिए किसी दूसरी जगह दूसरी प्रतिलिपि रखना आपका ही काम है। लॉक किए गए संस्करणों को भी समय से पहले प्रून नहीं किया जा सकता, इसलिए पूल हर रखे गए संस्करण से बढ़ता है। **Basalthold के 2 November 2026 सर्वेक्षण में पाया गया कि KYC के बिना क्रिप्टो स्वीकार करने वाले होस्ट पर 72 TB या अधिक के स्टोरेज सर्वर की लागत प्रति TB प्रति माह औसतन $4.86 थी।** Hold 100 की लागत $3.77/TB, रॉ है। 12 महीने तक की शर्तें [होल्ड मूल्य सूची](https://basalthold.com/hi/pricing/ "Every hold, term and city, with prices") पर हैं।

## अपरिवर्तनीय बैकअप के बारे में लोग और क्या पूछते हैं?

### क्या append-only रिपॉजिटरी अपरिवर्तनीय के समान है?

लगभग, लेकिन समान नहीं। Append-only क्लाइंट को डेटा हटाने या फिर से लिखने से रोकता है। Veeam के हार्डन्ड रिपॉजिटरी या COMPLIANCE मोड में S3 Object Lock जैसा टाइम लॉक, तिथि बीतने तक एडमिन को भी रोकता है।

### क्या RAID या ZFS मिरर बैकअप को अपरिवर्तनीय बनाता है?

नहीं। रिडंडेंसी हर बदलाव, विलोपन सहित, सभी ड्राइव पर कॉपी करती है। अपरिवर्तनीयता के लिए ऐसे संस्करण चाहिए जिन्हें बैकअप किया गया मशीन हटा न सके: स्नैपशॉट, append-only रिपॉजिटरी या टाइम लॉक।

### क्या मेरे PC पर रैनसमवेयर सर्वर पर ZFS स्नैपशॉट तक पहुँच सकता है?

बैकअप खाते के माध्यम से नहीं, जब तक उस खाते के पास डेटासेट पर डिस्ट्रॉय अधिकार न हो। स्नैपशॉट केवल-पढ़ने योग्य है। केवल सर्वर पर रूट, या जिस खाते को आपने डिस्ट्रॉय सौंपा है, उसे हटा सकता है।

### बैकअप कितने समय तक लॉक रहना चाहिए?

उस समय से अधिक जितने में कोई घुसपैठ बिना पकड़ी जाए रह सके, और आपकी भुगतान की गई अवधि से कम। Veeam 7 से 9999 दिनों की अनुमति देता है। 30-दिन के किराए पर 30-दिन का लॉक कोई गुंजाइश नहीं छोड़ता, इसलिए अधिक समय के लिए किराए पर लें।

### क्या Basalthold एक प्रति रखता है यदि मेरा सर्वर मिटा दिया जाए?

एक स्टोरेज सर्वर अपना बैकअप नहीं होता: हम आपके डेटा की कोई प्रतिलिपि कहीं और नहीं रखते, इसलिए किसी दूसरी जगह दूसरी प्रतिलिपि रखना आपका ही काम है। कहीं और एक दूसरी, स्वतंत्र प्रति रखें।

**ऐसा सर्वर जिसके पुराने बैकअप आपके क्लाइंट हटा नहीं सकते** Hold 100: Intel Xeon Silver 4210R (10 cores / 20 threads), 128 GB DDR4 ECC, 10 × 10 TB हार्ड ड्राइव (100 TB raw) और सिस्टम के लिए 2 × 480 GB SSD, mirrored, 1 Gbit/s पोर्ट के साथ हर 30 दिन में 120 TB ट्रैफ़िक, 1 IPv4 और एक IPv6 /64, $377.05/30 दिन के लिए, या $3,167.22 12 महीनों के लिए। क्रिप्टो, कोई KYC नहीं। [Hold 100 को 12 महीनों के लिए किराए पर लें](https://basalthold.com/app/checkout/?plan=hold-100&term=12m&location=nl-ams&lang=hi) · [Chisinau में Hold 24 किराए पर लें](https://basalthold.com/app/checkout/?plan=hold-24&location=md-kiv&lang=hi)

## स्रोत

1. [rest-server README (--append-only)](https://github.com/restic/rest-server) — restic on GitHub (read 2026-11-02)
2. [अतिरिक्त नोट्स: append-only मोड (Borg 1.4.5)](https://borgbackup.readthedocs.io/en/stable/usage/notes.html) — BorgBackup documentation (read 2026-11-02)
3. [उपयोगकर्ता प्रबंधन: भूमिकाएँ](https://pbs.proxmox.com/docs/user-management.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
4. [रखरखाव कार्य: गार्बेज कलेक्शन](https://pbs.proxmox.com/docs/maintenance.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
5. [Hardened Repository और How Immutability Works (Veeam Backup & Replication 13)](https://helpcenter.veeam.com/docs/vbr/userguide/hardened_repository_immutability.html?ver=13) — Veeam Help Center (read 2026-11-02)
6. [ऑब्जेक्ट लॉकिंग और प्रतिधारण](https://docs.min.io/community/minio-object-store/administration/object-management/object-retention.html) — MinIO documentation (read 2026-11-02)
7. [minio/minio रिपॉजिटरी (25 अप्रैल 2026 को संग्रहीत)](https://github.com/minio/minio) — MinIO on GitHub (read 2026-11-02)
8. [S3 संगतता स्थिति](https://garagehq.deuxfleurs.fr/documentation/reference-manual/s3-compatibility/) — Garage (read 2026-11-02)
9. [रैनसमवेयर सुरक्षा](https://kopia.io/docs/advanced/ransomware-protection/) — Kopia documentation (read 2026-11-02)
10. [zfsconcepts(7), zfs-allow(8) और zfs-hold(8)](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-hold.8.html) — OpenZFS (read 2026-11-02)

---

Basalthold: Basalthold Amsterdam, Bucharest और Chisinau में स्टोरेज डेडिकेटेड सर्वर किराए पर देता है, जिनका भुगतान क्रिप्टो में होता है और कोई KYC नहीं: न ID, न सेल्फी, न दस्तावेज़। हर सर्वर एक पूरी फिज़िकल मशीन है जिसमें एक ग्राहक के लिए 24 TB से 160 TB तक हार्ड ड्राइव होती हैं, जो खाली डेटा ड्राइव और root एक्सेस के साथ मिलती है — बैकअप, आर्काइव, फ़ाइल सिंक और सेल्फ-होस्टेड ऑब्जेक्ट स्टोरेज के लिए। 2 नवंबर 2026 को कीमतें 24 TB के लिए $110.99 प्रति 30 दिन से लेकर 160 TB के लिए $561.39 तक थीं ($3.50 प्रति रॉ TB)। इसे DomaineGoat LLC चलाता है, जो Panama में पंजीकृत कंपनी है, कोई लॉग नहीं रखती और कभी आपकी एन्क्रिप्शन कुंजियाँ नहीं माँगती।