Syncthing P2P sync через офшор

Syncthing соединяет N устройств в кластер - каждое устройство имеет уникальный ID на основе ECDSA ключа. Между устройствами устанавливаются прямые TLS-соединения через discovery механизм - global discovery servers, local network broadcast, или собственный discovery server. Если прямое соединение невозможно через NAT, трафик идёт через relay сервер - официальный pool или свой. Файлы делятся на блоки 128 KB, хешируются, передаются только изменённые блоки. Конфликты разрешаются через timestamp и versioning. Поддерживает send-receive, send-only, receive-only режимы папок. Versioning - simple, staggered, trash can, external. Шифрование на стороне устройства опционально для untrusted девайсов.

Сценарий 1 - офшорный VPS как always-on узел, который держит мастер-копию ваших файлов. Ноутбук, телефон, рабочий ПК подключаются к нему когда онлайн, синхронизируют изменения. Если ноутбук украден - файлы остаются на VPS. Сценарий 2 - VPS как собственный relay server, чтобы не зависеть от публичного pool. Это нужно если корпоративная политика запрещает untrusted relay. Сценарий 3 - VPS как собственный discovery server, опять же для privacy и независимости. Сценарий 4 - синхронизация бэкапов между офисом и офшорным VPS - папка с критичными файлами реплицируется в реальном времени. На 4 GB RAM VPS Syncthing хостит 500-1000 GB данных с активной синхронизацией.

Syncthing шифрует трафик между узлами через TLS 1.3 с PFS. Сами файлы на диске VPS не зашифрованы по умолчанию - для шифрования at-rest нужно использовать encrypted folder feature или LUKS full-disk encryption на уровне ОС. Anubiz Host предоставляет LUKS опцию при инсталляции VPS. Доступ к web UI Syncthing на 8384 порту по умолчанию открыт только для localhost - для удалённого доступа нужен SSH tunnel или nginx reverse-proxy с basic auth и SSL. Двухфакторная аутентификация через TOTP отсутствует в Syncthing - компенсируется ограничением доступа к UI через VPN или WireGuard. Логи Syncthing минимальны, не пишут содержимое файлов. Подключения только к авторизованным device ID, никаких anonymous peer.