Hyper Backup lên Wasabi/Backblaze: backup NAS Synology ra cloud, dính ransomware cũng không mất trắng

Vì sao không nên dừng lại ở Google Drive

Đa số hướng dẫn Hyper Backup trên mạng dừng ở bước "đăng nhập Google Drive, chọn thư mục, xong". Không sai, nhưng đó mới là nửa câu chuyện — nửa còn lại thường lộ ra đúng lúc bạn cần backup nhất. Google Drive dùng chung một OAuth client và một cục API quota của Synology cho toàn bộ NAS trên thế giới, nên dataset lớn hoặc chạy vài task cùng lúc rất dễ ăn lỗi "insufficient quota" hay "rate limit reached" giữa chừng — chẳng liên quan gì đến gói dung lượng bạn đã trả tiền mua.

Bài này theo đúng mô hình 3-2-1: bản gốc trên NAS, bản thứ hai ở một nơi local khác (NAS phụ, USB, eSATA), bản thứ ba đẩy offsite lên cloud, tách hẳn khỏi mạng nội bộ. Cho bản thứ ba, engine vẫn là Hyper Backup — package có sẵn trong DSM, không cần Docker, không cần VM, không có lý do gì phải vẽ thêm tool ngoài. Đích lưu trữ khuyến nghị là Wasabi hoặc Backblaze B2 qua chuẩn S3, thay vì Google Drive.

Lý do: S3-compatible dùng access key/secret key riêng của bạn, không chia quota với ai khác. Hỗ trợ Object Lock/versioning ở tầng bucket, tức là dựng được bản backup thật sự immutable — ransomware có chiếm được NAS cũng không xóa hay mã hóa lại được. Giá mỗi TB cũng rẻ hơn hẳn Google One một khi dữ liệu lên vài TB. Đánh đổi là bạn phải làm quen với endpoint, bucket, access key — hết cái kiểu "đăng nhập Google là xong việc". Nếu dữ liệu cá nhân dưới 2TB và ngại mấy khái niệm S3, Google Drive vẫn dễ thở hơn nhiều, phần dưới bài có hướng dẫn riêng cho lựa chọn này.

Yêu cầu trước khi bắt đầu

• DSM 7.2/7.3, package Hyper Backup bản mới nhất (khoảng 3.0.2-2432 trở lên). Nếu backup vào NAS Synology khác, cài thêm Hyper Backup Vault ở đầu nhận.
• Muốn dùng S3-compatible (Wasabi/Backblaze), Hyper Backup phải từ bản v2.2.5-1261 trở lên mới hỗ trợ.
• Dung lượng trống ở đích tối thiểu 8GB — ít hơn là task không chạy được.
• Nếu chọn Wasabi/Backblaze: đã tạo sẵn tài khoản, tạo bucket, và có cặp Access Key/Secret Key.

Bước 1: Tạo backup task trong Hyper Backup

Mở Package Center, cài Hyper Backup nếu máy chưa có. Vào app, bấm dấu + ở góc dưới trái → Data backup task. DSM hỏi backup nguồn nào trước khi hỏi backup đi đâu — cứ trả lời phần nguồn, đích để bước sau lo.

Bước 2: Cấu hình đích — Google Drive (cho ai muốn đơn giản)

Chọn provider Google Drive, hệ thống chuyển qua màn OAuth, đăng nhập tài khoản Google, cấp quyền, chọn thư mục đích trên Drive. Xong. Nhưng gói free 15GB dùng chung với Gmail/Photos nên đầy rất nhanh nếu backup ảnh, mail, NAS cùng một chỗ. Muốn rộng hơn thì Google One 2TB ở Việt Nam khoảng 225.000đ/tháng (3 tháng đầu khuyến mãi ~19.000đ/tháng), hoặc mua gói năm niêm yết khoảng 2.500.000đ. Dễ, nhanh, nhưng đây chính là chỗ dễ dính lỗi quota đã nói ở trên khi dữ liệu phình to.

Bước 3: Cấu hình đích — Wasabi (S3-compatible)

Trên console Wasabi, tạo bucket trước, nhớ kỹ vùng (region) đã chọn — con số này sẽ dùng lại ngay bước sau. Quay lại Hyper Backup:

1. Chọn destination S3 Storage.
2. S3 Server chọn Custom Server URL.
3. Điền endpoint đúng vùng — mặc định s3.wasabisys.com, nếu tạo bucket ở Singapore (gần Việt Nam nhất) thì dùng s3.ap-southeast-1.wasabisys.com. Điền sai vùng là kết nối không ra bucket, đừng cứ để mặc định rồi thắc mắc sao báo lỗi.
4. Nhập Access Key và Secret Key lấy từ Wasabi console.
5. Signature Version chọn v4.
6. Nhập đúng tên bucket, có thể thêm storage path (thư mục con) nếu muốn tách nhiều NAS chung một bucket.

Giá Wasabi 6,99 USD/TB/tháng, flat, egress miễn phí theo tỷ lệ 1:1 với dung lượng đang lưu (trần 100TB/tháng). Nhưng nhớ kỹ cái này: Wasabi có minimum storage duration 90 ngày — xóa hay rotate version sớm hơn vẫn bị tính tiền như đang lưu đủ 90 ngày, không mặc cả được. Retention policy xoay vòng quá nhanh là hóa đơn tự nhiên mọc thêm dòng "Timed Deleted Storage" mà chẳng ai mời.

Bước 4: Cấu hình đích — Backblaze B2 (S3-compatible)

Trên console Backblaze, tạo bucket, rồi tạo Application Key. Chỗ này có cái bẫy: phải bật "Allow List All Bucket Names" khi tạo key, không thì Hyper Backup kết nối được nhưng không thấy bucket đâu — cứ tưởng mình gõ sai tên dù gõ đúng chằn chặn. Trong Hyper Backup:

1. Chọn destination S3 Storage.
2. Server address điền đúng S3 Endpoint riêng của bucket đó, dạng s3.us-west-XXX.backblazeb2.com — mỗi bucket có endpoint riêng, lấy trong console B2, đừng đoán.
3. Access Key = keyID, Secret Key = applicationKey.
4. Signature Version v4.

Giá B2 khoảng 6 USD/TB/tháng, egress miễn phí tới 3 lần dung lượng lưu trữ trung bình mỗi tháng (miễn phí không giới hạn luôn nếu đi qua Cloudflare nhờ Bandwidth Alliance). Một điều hay bị bỏ qua: bucket hoặc Application Key vừa tạo xong cần chờ 10-15 phút để hệ thống B2 lan truyền. Bấm test connection ngay lập tức dễ ăn lỗi kết nối dù mọi ô đã điền đúng — không phải bạn sai, chỉ là hệ thống chưa kịp cập nhật.

So sánh nhanh 3 lựa chọn

| Tiêu chí              | Google Drive         | Wasabi             | Backblaze B2      |
| --------------------- | -------------------- | ------------------ | ----------------- |
| Giá/TB/tháng          | ~112.500đ (2TB/225k) | $6.99              | ~$6               |
| Độ khó setup          | Rất dễ (OAuth)       | Trung bình (S3)    | Trung bình (S3)   |
| Quota riêng           | Không                | Có                 | Có                |
| Object Lock/immutable | Không                | Có                 | Có (giới hạn hơn) |
| Phí phạt xóa sớm      | Không                | Có (90 ngày)       | Không             |
| Phù hợp               | NAS cá nhân, <2TB    | SME, cần immutable | SME, egress cao   |

Bước 5: Chọn nguồn, lịch chạy, mã hóa, retention

Chọn nguồn backup: shared folders cần thiết, package nào cần giữ cấu hình, và tick luôn system configuration nếu muốn khôi phục cả settings DSM khi cài lại máy sau này. Đặt lịch tự động — daily hợp lý cho đa số trường hợp, hourly nếu dữ liệu thay đổi xoành xoạch. Bật bandwidth throttling nếu backup chạy ban ngày mà ăn hết băng thông làm việc.

Tới màn hình Client-side encryption (AES-256) — bật lên, và ngay lúc đó Hyper Backup cho tải file encryption key. Tải về và cất file này ở một nơi khác NAS ngay lập tức — password manager, USB rời, email riêng, gì cũng được, miễn không chỉ nằm trên chính cái NAS đang backup. Đây là bước hay bị lướt qua nhất, vì lúc tạo task ai cũng chỉ muốn bấm Next cho xong. Tới hôm NAS die thật, đi tìm file key thì đã muộn — backup vẫn nằm nguyên trên cloud, chỉ là không ai mở ra được nữa.

Chọn kiểu rotation cho version: xoay bản cũ nhất, custom (tối đa 7 rule), hoặc Smart Recycle — nên chọn cái này, vì nó tự giữ dày version gần đây rồi thưa dần theo giờ/ngày/tuần, cân bằng tốt giữa số bản giữ được và tiền phải trả cho cloud. Hyper Backup cho giữ tối đa 65.535 version, nhưng thực tế chẳng ai cần nhiều đến thế — quan trọng là chọn rule hợp tốc độ dữ liệu thay đổi của bạn.

Bước 6: Chạy lần đầu và xác minh

Chạy task lần đầu, thời gian nhanh chậm tùy dung lượng dữ liệu và tốc độ upload. Xong việc, đăng nhập console Wasabi/Backblaze/Google Drive kiểm tra object đã lên đúng bucket/thư mục chưa. Đừng chỉ tin cái dấu tick xanh trong Hyper Backup — tự mắt thấy dữ liệu nằm trên cloud mới yên tâm được.

Sau đó lên lịch Integrity Check định kỳ — hàng tuần hoặc hàng tháng, tùy dữ liệu quan trọng cỡ nào. Việc này quét lại toàn bộ version đã backup để phát hiện sớm version nào bị hỏng, thay vì để tới lúc cần restore mới biết dữ liệu đã chết từ đời nào.

Và làm luôn một việc mà 90% người dùng NAS bỏ qua: test restore thử. Restore một file hoặc một thư mục nhỏ về máy khác, xem có mở được không. Backup chạy xong xuôi không có nghĩa là restore được — cái này chỉ có thử mới biết, tin suông thì hôm cần dùng thật mới vỡ mộng.

Lỗi thường gặp

• Mất encryption key/password: dữ liệu vẫn còn nguyên trên cloud nhưng không cách nào khôi phục được nữa — mất vĩnh viễn. Phòng bằng cách lưu key ở ít nhất một nơi khác NAS ngay từ lúc tạo task.
• Google Drive báo "insufficient quota"/"rate limit reached" khi dataset lớn hoặc nhiều task chạy song song, do dùng chung API quota Synology. Giảm số task chạy đồng thời, giữ Worker Tasks mặc định = 3, bật nén để giảm số request, hoặc chuyển hẳn sang S3-compatible dùng key riêng.
• Integrity Check báo fail vì time limit mặc định dưới 30 phút không đủ cho dataset lớn — đổi sang "No limit". Nếu báo checksum mismatch thật sự, nghĩa là backup đã hỏng, phải backup lại từ đầu chứ không sửa được.
• Backblaze không tìm thấy bucket dù key đúng — do quên bật "Allow List All Bucket Names" lúc tạo Application Key, hoặc test connection quá sớm (chưa đủ 10-15 phút sau khi tạo key/bucket).
• Wasabi phát sinh phí ẩn do rotate/xóa version trước 90 ngày. Đặt retention policy dài hơi hơn để tránh việc xóa liên tục làm đội phí.
• NAS cấu hình thấp (DS220j, DS223j...) treo hoặc chạy cực chậm khi bật cả nén lẫn mã hóa cùng lúc — CPU yếu không kham nổi. Nếu máy yếu, cân nhắc chỉ bật mã hóa, giảm bớt nén, hoặc chấp nhận backup chạy lâu hơn.

Bảo mật và bảo trì

Client-side encryption AES-256 là bắt buộc, không phải tùy chọn — bật trước khi đẩy bất cứ thứ gì lên cloud, để nhà cung cấp dịch vụ (và bất kỳ ai xâm nhập được tài khoản cloud của bạn) không đọc được nội dung thật.

Nhớ rằng Hyper Backup tự nó không tạo ra bản backup immutable — nó chỉ giữ nhiều version. Muốn chống ransomware thật sự, phải kết hợp thêm Object Lock/versioning ở tầng bucket (Wasabi hỗ trợ tốt cái này) làm lớp WORM — write once, read many — để dù ai chiếm được quyền trên NAS lẫn credential Hyper Backup cũng không xóa hay ghi đè được các bản cũ.

Giới hạn quyền theo nguyên tắc tối thiểu: Application Key của Backblaze nên khóa chặt vào đúng một bucket, không dùng key full quyền cả tài khoản. Bật 2FA cho tài khoản Synology admin đang quản lý Hyper Backup. Và đừng quên lớp phòng thủ tại chỗ — Snapshot Replication trên NAS — trước khi tính tới chuyện đẩy dữ liệu ra ngoài.

Cuối cùng, tách biệt hoàn toàn credentials của bản backup offsite khỏi mạng nội bộ. Ransomware chiếm được NAS mà vẫn dùng chung session hay API key với backup cloud thì bản backup đó nguy hiểm chẳng kém gì bản gốc. Nói cho cùng, 3-2-1 mà đích thứ ba dùng chung chìa khóa với đích thứ nhất thì coi như chưa từng có 3-2-1.