3-2-1 原则是什么
3-2-1 备份原则是 CISA/US-CERT 等机构引用的备份架构基线，它约束副本的『数量、介质、位置』三个维度：保留 3 份数据副本、使用 2 种不同存储介质、其中 1 份放在异地或离线环境。它是设计检查表而不是具体产品方案，落地方式随规模变化，但三个维度的约束不能互相替代。
3-2-1 三个维度
| 维度 | 要求 | 说明 |
|---|---|---|
| 3 份副本 | 1 份原始数据 + 2 份备份 | 任一份损坏时仍有可用副本 |
| 2 种介质 | 如本地磁盘 + 异地对象存储或磁带 | 避免同类介质同批次故障 |
| 1 份异地 | 至少 1 份离开生产站点或离线保存 | 应对机房级故障与勒索软件横向加密 |
为什么是 3 份
3 份的算术来自失效叠加：本地一份用于日常快速恢复，第二份用于抵御本地副本损坏，第三份异地或离线用于抵御站点级事件。若只有两份且都在同一站点，一次机房事故或一次勒索软件加密就会同时带走两者。
基本信息
| 适用场景 | 从单机到数据中心均可按规模裁剪 |
|---|---|
| 常见扩展 | 3-2-1-1-0 追加离线与验证要求 |
| 落地顺序 | 先盘点数据与 RPO，再决定副本分布 |
| 判定标准 | 任意两份副本同时失效时业务仍可恢复 |
典型落地方式
- 单机场景：本机数据目录 + 备份服务器 + 云对象存储，覆盖介质与异地要求
- 虚拟化场景：生产存储快照 + 备份一体机 + 磁带离柜，兼顾恢复速度与离线能力
- 数据库场景：逻辑导出 + 物理全量 + binlog/WAL 归档，前两份落在不同介质上
- 云上场景：云盘快照 + 同区域对象存储 + 跨区域复制，跨区域副本即异地那一份
- 合规场景：长期留存副本放对象存储归档层或磁带，配合不可变锁定防篡改
副本失效场景对照
| 失效场景 | 仍存活的副本 | 不满足 3-2-1 的后果 |
|---|---|---|
| 单盘故障 | 其余 2 份 | 三份同盘时全部丢失 |
| 机房断电或火灾 | 异地副本 | 无异地时业务长时间中断 |
| 勒索软件加密 | 离线或不可变副本 | 在线副本被一并加密 |
| 人为误删 | 独立介质副本 | 快照随源卷回滚，误删被同步 |
副本清单骨架
副本清单骨架
# 逐项登记副本数量、介质与位置，用于核对 3-2-1
# 副本1 生产卷 本地磁盘 站点A
# 副本2 备份服务器 独立磁盘 站点A
# 副本3 对象存储 云存储 异地
# 检查点：介质是否至少两种、是否有 1 份离开生产站点
printf '%-8s %-14s %-10s\n' 副本 介质 位置验证副本可用性
验证副本可用性
sha256sum -c /backup/full-2026-10-12.tar.gz.sha256 # 校验本地归档
zstd -t /backup/db-2026-10-12.tar.zst # 只测解压不落盘
tar -tzf /backup/site.tar.gz > /dev/null # 通读全包校验结构
# 异地副本至少每季度做一次真实试恢复并记录结果小团队可用『本机 + 备份服务器 + 云对象存储』覆盖 3-2-1 的介质与异地要求；对象存储的跨区域复制即可充当异地那一份。
在线可达的异地副本不等于离线副本：攻击者拿到凭证后同样能加密或删除目标端数据，3-2-1 需再叠加离线或不可变机制才构成完整防护。
常见落地误区
- 把两份副本放在同一台服务器的不同目录，误以为已经满足 2 种介质的要求
- 只做云盘快照：快照与源卷同账号同区域，账号失陷或区域故障时无法独善其身
- 异地副本依赖生产网络实时可达，缺少离线或不可变保护，勒索软件可直接删除
- 副本数量看起来足够，但从未登记位置与介质类型，事故当天无人知道第三份放在哪里
- 把归档副本与生产系统放在同一套备份软件与同一组账号下，一次凭证泄露即全线失守