VPS для Syncthing: завжди онлайн, лише шифр

У Syncthing є одна дратівлива звичка: два пристрої синхронізуються лише тоді, коли обидва онлайн. Ноутбук спить, телефон у кишені на мобільному інтернеті, домашній комп'ютер вимкнений — і файли чекають моменту, коли два з них випадково прокинуться разом. Учасник, який онлайн цілодобово, це виправляє. Усе синхронізується через сервер, коли б кожен пристрій не з'явився.

Звичне заперечення — «тоді мої файли лежать на VPS». На це в Syncthing теж є відповідь: поділіться папкою із сервером як з недовіреним пристроєм, і він зберігатиме лише зашифровані дані, які не може прочитати.

Який тариф

Сам Syncthing крихітний — у нашому тесті близько 25–30 МБ RAM. Насправді ви купуєте диск, бо сервер тримає повну копію кожної папки, якою з ним поділилися.

Беріть тариф зі своєю IPv4. Пристроям потрібно достукатися до сервера на порт 22000; на тарифі NAT проходить лише SSH, і Syncthing переходить на публічні ретранслятори — повільніше й через інфраструктуру, яку ви не контролюєте. Обирайте Німеччину чи Фінляндію — що ближче до вас і доступне під час замовлення. Оплатити сервер можна криптою, без KYC.

Встановлення

Від root на Ubuntu 24.04 або Debian 12, з офіційного репозиторію Syncthing (стабільний канал v2):

mkdir -p /etc/apt/keyrings
curl -L -o /etc/apt/keyrings/syncthing-archive-keyring.gpg https://syncthing.net/release-key.gpg
echo "deb [signed-by=/etc/apt/keyrings/syncthing-archive-keyring.gpg] https://apt.syncthing.net/ syncthing stable-v2" > /etc/apt/sources.list.d/syncthing.list
apt update && apt install -y syncthing

Запускайте від окремого користувача під systemd:

useradd -m -s /bin/bash syncthing
systemctl enable --now syncthing@syncthing
ufw allow 22/tcp && ufw allow 22000/tcp && ufw allow 22000/udp && ufw enable

Не називайте користувача sync. Це ім'я вже зайняте системним обліковим записом з домашнім каталогом /bin, і syncthing@sync падає з помилкою про файлову систему лише для читання — ми самі на цьому спіткнулися.

Дізнайтеся ID пристрою сервера — ви вставите його на інших пристроях:

runuser -u syncthing -- syncthing device-id

Веб-інтерфейс слухає лише 127.0.0.1:8384, і так і має бути. Заходьте до нього через SSH-тунель зі свого комп'ютера:

ssh -L 8384:127.0.0.1:8384 root@YOUR_SERVER_IP

Відкрийте http://127.0.0.1:8384 і насамперед задайте пароль у Settings → GUI.

Поділіться папкою так, щоб сервер не міг її прочитати

На ноутбуці (або будь-якому довіреному пристрої):

1. Додайте сервер як віддалений пристрій за його ID.
2. Відкрийте папку, яку хочете синхронізувати → Sharing, позначте сервер і введіть поруч пароль шифрування. Збережіть цей пароль у менеджері паролів: без нього дані на сервері — просто шум.
3. У веб-інтерфейсі сервера прийміть папку й виберіть тип Receive Encrypted.

От і все. Подивіться, що насправді потрапило на сервер:

find /home/syncthing -path '*syncthing-enc*' -type f | head

Ви побачите шляхи на кшталт …/I.syncthing-enc/C8/PICA7BFKFPSGQ06C4D4SQ50GB6E151QUNF1EOBK замість імен ваших файлів. У нашому тесті ми шукали на сервері фразу із синхронізованого файлу — нічого.

Інші ваші пристрої діляться тією самою папкою звичайним способом — між собою, а із сервером із тим самим паролем шифрування. Будь-який довірений пристрій, що знає пароль, може синхронізуватися із сервера, зокрема й новий ноутбук, коли старий помре.

Чесно про обмеження

• Синхронізація — не бекап. Видалення й випадкові перезаписи теж синхронізуються. Увімкніть версіонування файлів на довіреному пристрої або тримайте окремий бекап деінде.
• Шифрування ховає вміст та імена, але не все. Розміри файлів і час змін на сервері вирахувати можна. Більшості людей такий компроміс підходить; якщо вам ні, ця схема не для вас.
• Пароль — це ключ. Втратите його — і зашифрована копія на сервері марна. У цьому сенс, і в цьому ж ризик.
• Телефони. Офіційного мобільного застосунку більше немає: для Android є підтримуваний спільнотою, для iOS — лише сторонні клієнти. Перевірте свій, перш ніж на нього розраховувати.

Якщо вам потрібен повноцінний веб-інтерфейс з календарями, контактами й посиланнями для спільного доступу, а не тиха синхронізація у фоні, дивіться на Nextcloud. Якщо ж ви хочете, щоб файли були всюди, а прочитати їх можна було лише на своїх пристроях, — це легший інструмент.

За темою

• Свій Nextcloud на VPS — повноцінна приватна хмара з веб-інтерфейсом
• VPS для Vaultwarden — паролі на своєму сервері
• VPS для зашифрованого сховища — LUKS і що шифрування на сервері може, а що ні
• Як налаштувати вхід за SSH-ключем
• Як налаштувати файрвол ufw