Sao lưu Synology lên Wasabi bằng Hyper Backup

Wasabi là gì, giải quyết nỗi đau nào của backup cloud?

Wasabi là dịch vụ lưu trữ đám mây kiểu object storage — nói nôm na là "ổ cứng cloud" dùng chuẩn S3 y hệt AWS. Phần mềm nào đã biết đẩy dữ liệu lên S3 thì trỏ sang Wasabi cũng chạy ngay, không phải học lại gì cả. Điểm khiến dân NAS để ý tới Wasabi không phải vì nó rẻ hơn AWS S3 vài đồng, mà vì cái bẫy kinh điển của cloud storage: lưu thì rẻ, nhưng lúc cần tải dữ liệu ra (egress) để restore mới thấy hóa đơn nhảy múa. Wasabi cắt luôn phí egress và phí API request, tính giá phẳng theo dung lượng lưu.

Ghép với Synology, món này làm được vài việc rất thiết thực:

• Backup tăng dần (incremental) và khử trùng lặp — lần đầu upload hết, các lần sau chỉ đẩy phần thay đổi, không tốn băng thông vô tội vạ.
• Mã hóa AES-256 ngay trên NAS trước khi gửi đi — Wasabi chỉ giữ một khối dữ liệu đã mã hóa, không đọc được nội dung thật.
• Đặt lịch tự động và xoay vòng phiên bản, NAS tự dọn bớt bản cũ mà không cần bạn nhớ ra tay.
• Tùy chọn Object Lock — biến bản backup thành bất biến, không ai xóa/sửa được, kể cả khi có kẻ chiếm được quyền admin NAS của bạn.

Vài tình huống hay gặp: nhà có kho ảnh gia đình, hợp đồng công việc lưu trên NAS, chỉ sợ cháy nhà hoặc ổ cứng đột tử mà chưa có bản sao ở nơi khác. Hoặc bạn từng nghe kể chuyện NAS bị ransomware mã hóa sạch, lúc đó mới ngã ngửa ra "backup" nằm trên cùng một NAS thì có tính là backup đâu. Hoặc dân freelance/agency nhỏ backup dữ liệu khách hàng định kỳ, cần biết trước tháng này tốn bao nhiêu, không muốn nhận hóa đơn cloud kiểu "surprise" cuối tháng.

So với AWS S3, Wasabi rẻ hơn hẳn về giá lưu trữ và ăn đứt về phí egress. Cứ tưởng tượng bạn cần restore vài TB sau một sự cố: AWS S3 tính phí egress $0.09/GB, có thể lên tới cả triệu đồng, còn Wasabi miễn phí egress trong hạn mức bằng dung lượng đang lưu. Đổi lại, nếu bạn chỉ lưu kiểu "cất vào hầm không đụng tới bao giờ", Glacier Deep Archive của AWS vẫn rẻ hơn Wasabi nhiều lần — Wasabi định vị là "hot storage" giá rẻ, không phải cold storage.

Vì sao chọn Hyper Backup + S3 Storage, không cần Docker hay SSH

Hyper Backup là package chính chủ Synology, cài một nút trong Package Center, không đụng gì tới Container Manager hay dòng lệnh. Cái hay là Hyper Backup có sẵn loại đích backup tên "S3 Storage" — một đích tổng quát cho bất kỳ dịch vụ nào nói chuyện bằng giao thức S3, và Wasabi nằm gọn trong danh sách được hỗ trợ chính thức. Không cần plugin riêng, không cần script, không cần biết Docker là gì.

Toàn bộ việc tạo bucket, tạo key, và cấu hình task backup làm gọn trên hai trang: Wasabi Console và DSM. Không một dòng lệnh nào là bắt buộc trong bài này — phần SSH/nâng cao (nếu có) mình để riêng ở cuối.

Chuẩn bị trước khi bắt tay vào làm

• NAS chạy DSM 6.2 trở lên, cài được Hyper Backup bản 2.1.8 trở lên (Package Center có sẵn).
• Một tài khoản Wasabi (dùng thử hoặc trả phí) tại wasabi.com.
• Biết trước shared folder/package nào cần backup, ước lượng dung lượng để chọn region gần và tính chi phí.

Bước 1: Tạo bucket trên Wasabi

Đăng nhập console.wasabisys.com, vào mục Buckets, tạo bucket mới. Chọn region gần Việt Nam nhất — thường là Singapore (ap-southeast-1) để độ trễ đỡ khổ. Đặt tên bucket cho kỹ, vì tên bucket là duy nhất toàn hệ thống Wasabi và không đổi được sau khi tạo — không phải như đổi tên file, sai là phải tạo bucket mới, không có "sửa lại cho nhanh".

Nếu định dùng Object Lock (phần nâng cao ở dưới), nhớ bật Versioning ngay lúc tạo bucket này. Đây là thứ bắt buộc phải chọn từ đầu, không có đường lùi.

Bước 2: Tạo Access Key

Vào mục Access Keys trên Wasabi Console, bấm Create New Access Key. Wasabi đưa ra một cặp Access Key và Secret Key. Copy và lưu lại ngay lúc này — Secret Key chỉ hiển thị đúng một lần, tắt trang là mất, phải tạo key mới từ đầu. Nghe hiển nhiên, nhưng đây chính xác là lỗi phổ biến nhất khi mới đụng tới mấy dịch vụ kiểu S3: ai cũng tự tin bấm "để lát copy" rồi quên mất trang này không có nút "xem lại".

Bước 3: Cài Hyper Backup và tạo task trên DSM

1. Vào Package Center trên DSM, tìm và cài Hyper Backup (nếu máy chưa có).
2. Mở Hyper Backup, bấm nút +, chọn "Data backup task".
3. Ở bước chọn đích, chọn S3 Storage (không chọn nhà cung cấp cụ thể nào khác).
4. Ở mục S3 Server, chọn "Custom Server URL", dán endpoint đúng region bucket đã tạo. Ví dụ bucket ở Singapore: s3.ap-southeast-1.wasabisys.com. Bucket ở mặc định us-east-1 thì dùng s3.wasabisys.com. Danh sách đầy đủ nằm ở docs.wasabi.com, chọn đúng cái tương ứng với region lúc tạo bucket ở Bước 1.
5. Nhập Access Key và Secret Key vừa tạo. Chọn tên bucket từ dropdown (Hyper Backup tự liệt kê nếu key đủ quyền). Nếu có tùy chọn signature version, chọn Signature v4 — một số bản Hyper Backup mặc định đúng rồi, nhưng chọn tay cho chắc, tránh lỗi xác thực vô cớ.
6. Chọn shared folder, package, hoặc cấu hình hệ thống cần backup.
7. Đặt lịch chạy (giờ/ngày/tuần), bật mã hóa client-side nếu muốn (sẽ yêu cầu đặt mật khẩu — lưu mật khẩu này ở nơi khác, ngoài NAS), chọn Smart Recycle cho đơn giản hoặc tự chỉnh retention nếu cần kiểm soát chi tiết.
8. Bấm Apply. Nghe hiển nhiên mà đây lại là bước hay quên nhất — nhất là lúc đang mải soát lại từng ô nhập key, tưởng bấm rồi, tối về mới ngớ người ra vì task chưa hề được lưu.

Kiểm tra backup chạy đúng chưa

Sau khi tạo task, chạy backup lần đầu bằng tay (không đợi tới lịch) để chắc kết nối thông suốt. Vào Wasabi Console, mở bucket vừa tạo, kiểm tra có object mới xuất hiện đúng thời điểm chạy backup không. Thấy object lên là coi như luồng Hyper Backup → Wasabi đã thông, phần còn lại chỉ là chờ lịch tự chạy.

Khôi phục dữ liệu khi cần

Mở Hyper Backup, chọn task đã tạo, bấm Restore. Chọn phiên bản theo timeline (mỗi lần backup là một điểm mốc), chọn file hoặc folder cần lấy lại, rồi chọn đích restore về NAS. Nếu có bật mã hóa client-side, lúc restore sẽ cần đúng mật khẩu đã đặt lúc tạo task. Quên mật khẩu này thì dữ liệu vẫn nằm nguyên trên Wasabi, nhưng không ai giải mã được — coi như mất vĩnh viễn.

Lỗi hay gặp và cách xử lý

• Chọn sai endpoint theo region: tạo bucket ở Singapore nhưng lại điền endpoint us-east-1 (hoặc ngược lại) — Hyper Backup báo lỗi kết nối hoặc không thấy bucket. Xử lý: mở lại bucket trên Wasabi Console để xác nhận region, rồi tra endpoint tương ứng.
• Dropdown bucket trống, không chọn được: thường do Access Key thiếu quyền liệt kê bucket. Nếu dùng key của root account thì hiếm gặp, nhưng nếu đã tạo sub-user với policy giới hạn (xem phần nâng cao), thiếu quyền s3:ListAllMyBuckets hoặc s3:GetBucketVersioning là nguyên nhân số một.
• Mất Secret Key vừa tạo: Wasabi chỉ hiện một lần, tắt tab là hết đường lấy lại — phải xóa key cũ, tạo key mới, cập nhật lại vào task Hyper Backup.
• Xóa dữ liệu sớm mà vẫn bị tính phí: Wasabi tính phí lưu trữ tối thiểu 90 ngày cho mỗi object, xóa trong vòng 90 ngày vẫn bị charge đủ. Nếu retention policy dọn bản cũ quá nhanh, hóa đơn có thể cao hơn dự tính — nên hiểu quy tắc này trước khi chỉnh custom retention.

Tùy chọn nâng cao (không bắt buộc)

Mấy thứ dưới đây không cần để backup chạy được, nhưng nên biết nếu muốn siết bảo mật:

• Object Lock: bật lúc tạo bucket (phải có Versioning trước), chọn Compliance mode nếu muốn chống cả trường hợp chính admin bị lừa hoặc bị chiếm quyền cũng không xóa được backup — chống ransomware triệt để hơn Governance mode.
• Sub-user riêng cho backup: thay vì dùng Access Key của root account, tạo group + sub-user trong Wasabi, gắn policy chỉ có quyền cần thiết (đọc/viết trên bucket cụ thể, cộng s3:ListAllMyBuckets và s3:GetBucketVersioning để Hyper Backup liệt kê bucket được). Root account lộ key thì mất kiểm soát toàn bộ tài khoản Wasabi, sub-user lộ key chỉ ảnh hưởng đúng phạm vi được cấp.
• Bật MFA cho tài khoản Wasabi — key backup mà rơi vào tay người khác, cộng thêm account không có MFA, thì coi như mở cửa cho kẻ xấu xóa sạch backup của chính bạn.
• Custom retention thay Smart Recycle: nếu cần giữ đúng số bản theo tuần/tháng/năm theo quy định nội bộ (agency backup dữ liệu khách hàng thường cần cái này), Hyper Backup cho tự đặt tối đa 7 quy tắc retention.

Bảo mật và chi phí cần nhớ

Vài điểm đáng nhớ gộp lại cho gọn: đừng dùng key root cho việc chạy hàng ngày, lưu mật khẩu mã hóa client-side ở nơi tách biệt khỏi NAS (NAS chết thì mật khẩu vẫn phải còn để giải mã), và nhớ egress miễn phí chỉ áp dụng trong hạn mức bằng dung lượng đang lưu — restore toàn bộ nhiều lần trong một tháng vẫn có thể phát sinh phí ngoài dự kiến.

Backup off-site không phải việc set-and-forget. Cấu hình xong task Hyper Backup trỏ lên Wasabi, việc còn lại là để nó chạy đều đặn theo lịch — và thỉnh thoảng tạt qua Wasabi Console ngó một cái cho chắc bụng. Vì cái dòng chữ "thành công" xanh lè trên DSM chưa chắc đồng nghĩa bạn thực sự restore được khi cần đến nó.