Tự Dựng Trạm Bản Sao Dữ Liệu Thời Gian Thực (Disaster Recovery Hub) Giữa AWS Và Hetzner Dùng Syncthing Nâng Cao

Giới thiệu về chiến lược Multi-Cloud Disaster Recovery

Trong kỷ nguyên số, dữ liệu là tài sản vô giá của mọi doanh nghiệp. Việc phụ thuộc hoàn toàn vào một nhà cung cấp dịch vụ đám mây (Cloud Provider) duy nhất luôn tiềm ẩn những rủi ro bất khả kháng như sự cố hạ tầng trên diện rộng, lỗi cấu hình hệ thống hoặc thậm chí là vấn đề pháp lý và chi phí. Chính vì vậy, chiến lược Multi-Cloud Disaster Recovery (DR) đang trở thành tiêu chuẩn vàng để đảm bảo tính liên tục của doanh nghiệp (Business Continuity).

Hôm nay, chúng ta sẽ cùng nhau xây dựng một trạm "Bản sao dữ liệu thời gian thực" giữa hai đám mây có triết lý vận hành và chi phí rất khác nhau: Amazon Web Services (AWS) – gã khổng lồ với hệ sinh thái phong phú, và Hetzner – nhà cung cấp Cloud/Dedicated server đến từ châu Âu nổi tiếng với hiệu năng tối ưu trên giá thành (Price-to-Performance ratio) cực tốt. Công cụ cốt lõi được sử dụng là Syncthing phiên bản nâng cao, một giải pháp đồng bộ hóa tệp tin ngang hàng (Peer-to-Peer) mã nguồn mở, bảo mật và mạnh mẽ.

Tại sao lại kết hợp AWS, Hetzner và Syncthing?

Mô hình kết hợp này mang lại sự cân bằng hoàn hảo giữa tính an toàn, hiệu suất và bài toán kinh tế cho doanh nghiệp:

Tối ưu hóa chi phí lưu trữ và băng thông: AWS có chi phí lưu trữ (EBS, EFS) và phí Outbound Bandwidth (Egress) khá cao. Bằng cách đặt trạm DR tại Hetzner (nơi cung cấp dung lượng ổ đĩa lớn và băng thông dồi dào với giá rất rẻ), doanh nghiệp sẽ tiết kiệm được một khoản ngân sách đáng kể.
Kiến trúc phi tập trung (Decentralized): Syncthing không phụ thuộc vào bất kỳ máy chủ trung tâm nào. Dữ liệu được mã hóa mã nguồn mở và truyền trực tiếp giữa các node, loại bỏ rủi ro về rò rỉ dữ liệu bên thứ ba.
Đồng bộ hóa thời gian thực (Real-time): Khác với các script chạy bằng Cronjob (như rsync), Syncthing sử dụng cơ chế giám sát thay đổi tệp tin của hệ điều hành (Inotify) để đồng bộ ngay lập tức khi có biến động.

Kiến trúc tổng quan của hệ thống DR Hub

Hệ thống của chúng ta bao gồm hai thành phần chính đặt tại hai nhà cung cấp khác nhau:

Production Node (AWS EC2): Nơi chạy ứng dụng chính và phát sinh dữ liệu (User uploads, Database dumps, Logs).
DR Hub Node (Hetzner Cloud VPS hoặc Dedicated Server): Nơi tiếp nhận, lưu trữ bản sao dữ liệu và sẵn sàng kích hoạt khi AWS gặp sự cố.

Lưu ý về bảo mật: Toàn bộ lưu lượng truyền tải giữa AWS và Hetzner qua Syncthing đều được mã hóa mặc định bằng TLS 1.3. Không một ai trên đường truyền Internet có thể đánh cắp hoặc can thiệp vào dữ liệu của bạn.

Hướng dẫn triển khai Syncthing nâng cao từng bước

Bước 1: Cài đặt Syncthing trên cả hai Server

Để đảm bảo hiệu năng và tính năng mới nhất, chúng ta nên cài đặt Syncthing từ kho lưu trữ chính thức của nhà phát hành thay vì kho ứng dụng mặc định của Ubuntu/Debian.

# Thêm PGP key của Syncthing
sudo mkdir -p /etc/apt/keyrings
sudo curl -L -o /etc/apt/keyrings/syncthing-archive-keyring.gpg [https://syncthing.net/release-key.gpg](https://syncthing.net/release-key.gpg)

# Thêm kho lưu trữ thích hợp
echo "deb [signed-by=/etc/apt/keyrings/syncthing-archive-keyring.gpg] [https://apt.syncthing.net/](https://apt.syncthing.net/) syncthing stable" | sudo tee /etc/apt/sources.list.d/syncthing.list

# Cập nhật và cài đặt
sudo apt-get update
sudo apt-get install syncthing -y

Sau khi cài đặt, hãy khởi chạy và kích hoạt Syncthing như một dịch vụ hệ thống (systemd) dưới quyền user vận hành ứng dụng (ví dụ: www-data hoặc một user định danh riêng):

sudo systemctl enable [email protected]
sudo systemctl start [email protected]

Bước 2: Cấu hình Mạng và Bảo mật Nâng cao (Hardening)

Mặc định, Giao diện quản trị (Web GUI) của Syncthing chỉ lắng nghe ở địa chỉ 127.0.0.1:8384. Để quản trị từ xa một cách an toàn mà không cần mở port Web GUI ra Internet công cộng, bạn nên sử dụng cơ chế SSH Tunneling.

ssh -L 9090:127.0.0.1:8384 user@your-server-ip

Bây giờ, bạn có thể truy cập Web GUI một cách an toàn bằng cách mở trình duyệt và gõ localhost:9090. Hãy vào phần Settings -> GUI để đặt mật khẩu mạnh và kích hoạt HTTPS cho giao diện này.

Đối với cổng truyền tải dữ liệu (Default: 22000/TCP và 22000/UDP), hãy cấu hình cấu trúc tường lửa như sau:

Trên AWS Security Group: Chỉ cho phép cổng 22000 từ IP Public của server Hetzner.
Trên Hetzner Firewall: Chỉ cho phép cổng 22000 từ IP Public của AWS Instance.

Việc giới hạn IP này loại bỏ hoàn toàn các cuộc tấn công quét cổng (port scanning) bừa bãi trên Internet.

Bước 3: Tối ưu hóa cấu hình Syncthing cho môi trường Enterprise

Để hệ thống hoạt động ổn định với hàng triệu tệp tin và dung lượng lớn, chúng ta cần tinh chỉnh một số thông số chuyên sâu trong file cấu hình config.xml hoặc qua Web GUI Advanced Settings:

1. Tăng giới hạn giám sát file của hệ điều hành (Inotify): Mặc định Linux giới hạn số lượng thư mục có thể giám sát theo thời gian thực. Hãy nâng thông số này lên bằng cách thêm vào file /etc/sysctl.conf:

fs.inotify.max_user_watches=524288

Sau đó chạy lệnh sudo sysctl -p để áp dụng.

2. Cấu hình "Send Only" và "Receive Only": Đây là tư duy cốt lõi của Disaster Recovery Hub. Tại node AWS (Production), hãy cấu hình Folder Type là Send Only. Tại node Hetzner (DR Hub), hãy cấu hình Folder Type là Receive Only. Cấu hình này giúp ngăn chặn tuyệt đối tình trạng mã độc (như Ransomware) hoặc thao tác xóa nhầm file ở node DR bị đồng bộ ngược trở lại làm hỏng dữ liệu gốc tại AWS.3. Kích hoạt File Versioning (Lưu trữ lịch sử tệp tin): Tại node Hetzner, hãy bật tính năng Staggered File Versioning. Khi một tệp tin bị xóa hoặc thay đổi ở AWS, Hetzner sẽ không xóa hẳn mà đưa vào một thư mục ẩn lưu trữ lịch sử theo mốc thời gian (1 ngày, 7 ngày, 30 ngày...). Điều này giúp doanh nghiệp chống lại các đòn tấn công Ransomware hiệu quả.

Kiểm tra và Giám sát hệ thống (Monitoring)

Sau khi kết nối hai node bằng cách trao đổi Device ID, quá trình đồng bộ sẽ bắt đầu. Bạn cần thiết lập hệ thống giám sát để đảm bảo trạm DR luôn hoạt động ổn định:

Sử dụng Syncthing API để tích hợp trạng thái đồng bộ vào hệ thống Prometheus/Grafana hoặc gửi cảnh báo về Telegram/Slack khi hai node mất kết nối (Disconnected) quá 5 phút.
Thường xuyên kiểm tra dung lượng ổ đĩa trên Hetzner để đảm bảo không bị tràn bộ nhớ do tính năng lưu trữ lịch sử file (Versioning).

Kết luận

Xây dựng một hệ thống Disaster Recovery Hub giữa AWS và Hetzner bằng Syncthing nâng cao là một giải pháp thông minh, kết hợp được sức mạnh của cả hai thế giới: Tính toàn vẹn dữ liệu cao và chi phí tối ưu tối đa. Chúc các bạn cấu hình thành công hệ thống DR Hub của riêng mình để bảo vệ doanh nghiệp trước mọi kịch bản sự cố hạ tầng!