Stand: 2026-11-05 · Zur Übersicht

Der aktivierte stündliche Timer startet ein Borg-1.4-Backup. Unabhängig vom im Samba-Container laufenden Mount erzeugt das Skript einen schreibgeschützten Btrfs-Snapshot des verschlüsselten Samba-Subvolumes und öffnet ihn nur für den Backup-Lauf auf dem Host mit gocryptfs -ro -acl in einem getrennten temporären Mount. Borg liest diese entschlüsselte Ansicht samt Eigentümern, Modi und ACLs. Der verschlüsselte Quellbaum wird nicht zusätzlich als Samba-Inhalt archiviert.

Borg dedupliziert und verschlüsselt mit repokey-blake2 vor der Ablage im entfernten Repository. Die aktuelle Repository-Verbindung nutzt SSH. Nach dem Lauf wird der temporäre Mount ausgehängt und der Snapshot bereinigt. Ein kontrollierter Fehlerfall mit fehlendem Testschlüssel brach vor borg create ab und räumte ebenfalls auf.

• Der initiale manuelle Backup-Lauf vom 2. November 2026 archivierte die lesbare Samba-Ansicht; ein isolierter Restore verglich Inhalt, Eigentümer, Modus und ACLs erfolgreich.
• Das lesende Folgelauf-Audit vom 3. November bestätigte mehrere automatische Archive der Klartextansicht ohne den verschlüsselten Samba-Quellbaum. Ausgewählte archivierte Dateien stimmten bytegleich mit der damaligen Live-Ansicht überein. Kein temporärer Restmount blieb zurück.
• Nach dem Container-Umbau am 5. November wurde das Borg-Archiv omnisrv-20261105-030228 erfolgreich erstellt (Dienst RC 0). Der separate schreibgeschützte Klartext-Mount wurde danach ausgehängt; der Borg-Timer war wieder aktiv und aktiviert.

Ein vollständiger Disaster-Restore des ganzen Tresors wurde nicht nachgewiesen. Das Folgelauf-Audit war kein vollständiges borg check und kein vollständiger Bytevergleich aller Archivdateien. Restore-Ziele müssen geschützt und ACLs vor Freigabe erneut geprüft werden.

Quellen: OMNISRV SAMBA BACKUP-001-Abschlussbericht, konsolidierter Borg-Folgelauf vom 3. November und OMNISRV-SAMBA-CONTAINER-FUSE-001-Abschlussbericht vom 5. November; Btrfs-Subvolumes und Snapshots; Borg 1.4 create; Borg-Verschlüsselung.