VPS pentru Syncthing: mereu online, doar criptat

Syncthing are un obicei enervant: două dispozitive se sincronizează doar cât timp sunt amândouă online. Laptopul doarme, telefonul e în buzunar pe date mobile, calculatorul de acasă e oprit — iar fișierele așteaptă momentul în care două dintre ele se nimeresc treze în același timp. Un peer online zi și noapte rezolvă asta. Totul se sincronizează prin server, oricând apare fiecare dispozitiv.

Obiecția obișnuită e „atunci fișierele mele stau pe un VPS”. Syncthing are răspuns și la asta: partajează un folder cu serverul ca dispozitiv nesigur, iar el va stoca doar date criptate pe care nu le poate citi.

Ce plan

Syncthing în sine e minuscul — circa 25–30 MB RAM în testul nostru. Ce cumperi de fapt e spațiu pe disc, pentru că serverul ține o copie completă a fiecărui folder partajat cu el.

Alege un plan cu IPv4 propriu. Dispozitivele trebuie să ajungă la server pe portul 22000; pe un plan NAT trece doar SSH, iar Syncthing trece pe relay-uri publice — mai lente și printr-o infrastructură pe care n-o controlezi. Există două locații din UE (disponibilitatea se vede la comandă); alege-o pe cea mai apropiată de tine. Serverul se poate plăti în cripto, fără KYC.

Instalare

Ca root pe Ubuntu 24.04 sau Debian 12, din repository-ul oficial Syncthing (canalul stabil v2):

mkdir -p /etc/apt/keyrings
curl -L -o /etc/apt/keyrings/syncthing-archive-keyring.gpg https://syncthing.net/release-key.gpg
echo "deb [signed-by=/etc/apt/keyrings/syncthing-archive-keyring.gpg] https://apt.syncthing.net/ syncthing stable-v2" > /etc/apt/sources.list.d/syncthing.list
apt update && apt install -y syncthing

Rulează-l cu un utilizator propriu, sub systemd:

useradd -m -s /bin/bash syncthing
systemctl enable --now syncthing@syncthing
ufw allow 22/tcp && ufw allow 22000/tcp && ufw allow 22000/udp && ufw enable

Nu-i da utilizatorului numele sync. Acest nume aparține deja unui cont de sistem cu /bin ca director personal, iar syncthing@sync eșuează cu o eroare de sistem de fișiere doar-citire — ne-am împiedicat noi înșine de asta.

Află ID-ul de dispozitiv al serverului — îl vei lipi pe celelalte dispozitive:

runuser -u syncthing -- syncthing device-id

Interfața web ascultă doar pe 127.0.0.1:8384, exact cum trebuie. Ajungi la ea printr-un tunel SSH de pe calculatorul tău:

ssh -L 8384:127.0.0.1:8384 root@YOUR_SERVER_IP

Deschide http://127.0.0.1:8384 și, înainte de orice, setează o parolă în Settings → GUI.

Partajează un folder fără ca serverul să-l poată citi

Pe laptop (sau pe orice dispozitiv de încredere):

1. Adaugă serverul ca dispozitiv la distanță, cu ID-ul lui.
2. Deschide folderul pe care vrei să-l sincronizezi → Sharing, bifează serverul și scrie lângă el o parolă de criptare. Păstreaz-o în managerul de parole: fără ea, datele de pe server sunt doar zgomot.
3. În interfața web a serverului, acceptă folderul și alege tipul Receive Encrypted.

Asta e tot. Uită-te la ce a ajuns de fapt pe server:

find /home/syncthing -path '*syncthing-enc*' -type f | head

Vei vedea căi ca …/I.syncthing-enc/C8/PICA7BFKFPSGQ06C4D4SQ50GB6E151QUNF1EOBK în locul numelor fișierelor tale. În testul nostru am căutat pe server o frază din fișierul sincronizat — nimic.

Celelalte dispozitive partajează același folder normal între ele, iar cu serverul folosind aceeași parolă de criptare. Orice dispozitiv de încredere care știe parola se poate sincroniza de pe server, inclusiv un laptop nou după ce cel vechi a murit.

Partea sinceră

• Sincronizarea nu e backup. Ștergerile și suprascrierile accidentale se sincronizează și ele. Activează versionarea pe un dispozitiv de încredere sau ține un backup separat în altă parte.
• Criptarea ascunde conținutul și numele, nu tot. Dimensiunile fișierelor și momentul în care se schimbă ceva se pot afla în continuare pe server. Pentru majoritatea oamenilor e un compromis bun; dacă pentru tine nu e, configurația asta nu e pentru tine.
• Parola e cheia. Dacă o pierzi, copia criptată de pe server e inutilă. Exact asta e ideea, și tot asta e riscul.
• Telefoane. Nu mai există o aplicație mobilă oficială: Android are una întreținută de comunitate, iOS doar clienți terți. Verifică-l pe al tău înainte să te bazezi pe el.

Dacă vrei o interfață web completă cu calendare, contacte și linkuri de partajare în loc de o sincronizare discretă în fundal, uită-te la Nextcloud. Dacă vrei doar ca fișierele tale să fie peste tot și să nu poată fi citite nicăieri în afară de dispozitivele tale, aceasta e unealta mai ușoară.

Articole conexe

• Nextcloud găzduit pe un VPS — un cloud privat complet, cu interfață web
• VPS pentru Vaultwarden — parole pe serverul tău
• VPS pentru stocare criptată — LUKS și ce poate și ce nu poate face criptarea pe un server
• Cum configurezi autentificarea cu cheie SSH
• Cum configurezi un firewall ufw