Paquets non officiels proxmox-backup-client pour RPM, Arch, Alpine et Debian

Le client Proxmox Backup Server compilé statiquement par Proxmox, vérifié contre l'index signé de Proxmox et republié, sans recompilation, en paquets signés pour Fedora, RHEL, Rocky, Alma, Arch, Alpine, Debian et Ubuntu, en amd64 et arm64.

Dépôt non officiel, sans lien avec Proxmox Server Solutions GmbH ni approuvé par elle. Proxmox est une marque déposée de Proxmox Server Solutions GmbH. Le dépôt est tenu par RDEM Systems (NimbusBackup).

Reconditionnement seulement : les binaires sont ceux de Proxmox

Ce dépôt ne compile pas, ne modifie pas et ne forke pas le client Proxmox Backup Server. Il reconditionne seulement les binaires de Proxmox pour les distributions que Proxmox ne livre pas :

Télécharger le build officiel de Proxmox, lié statiquement (proxmox-backup-client-static), depuis download.proxmox.com, et le vérifier contre l'index signé du dépôt de Proxmox.
Reconditionner ce binaire, inchangé, en paquets RPM, Arch et APK. Debian et Ubuntu reçoivent le .deb de Proxmox octet pour octet.
Signer et déployer les paquets sur nos serveurs, sous forme de dépôt utilisable par votre gestionnaire de paquets.

Aucune ligne du code de Proxmox n'est modifiée ni recompilée. Nos paquets RPM, Arch et APK n'ajoutent que deux liens symboliques vers les certificats, expliqués plus bas.

Ce que contiennent les paquets

proxmox-backup-client et pxar, avec leurs pages de manuel et leurs complétions bash et zsh : ce sont les fichiers du paquet statique de Proxmox, tels quels.

proxmox-file-restore n'y est pas, pour trois raisons :

Proxmox n'en publie pas de version statique. Le paquet officiel est lié dynamiquement à libc6, libssl3, libzstd1, libacl1 et libuuid1. Ces bibliothèques n'existent ni sous Alpine, en musl, ni sous RHEL avec les mêmes noms de version : le binaire ne démarrerait pas.
Le livrer supposerait de le compiler. Ce serait un autre projet que celui-ci, et cela romprait la seule promesse qui compte ici : le binaire que vous installez est celui de Proxmox, pas le nôtre.
Il lui faut plus que lui-même. Restaurer un fichier depuis l'image disque d'une VM passe par une machine virtuelle dédiée : image de restauration de Proxmox (noyau et initramfs) et QEMU, que rien ne rend portables hors Debian. Pour une sauvegarde d'hôte, la restauration fichier par fichier se fait déjà avec catalog shell et restore --pattern du client.

Si Proxmox publie un jour un proxmox-file-restore statique dans son dépôt client, nous l'empaquetterons comme le reste, sans le recompiler.

Versions actuelles

Les versions, sommes de contrôle et empreinte de la clé de signature de chaque paquet sont listées dans index.json. Le pipeline vérifie chaque jour le dépôt de Proxmox ; chaque nouvelle version est publiée une fois ses tests d'installation réussis.

Installer

Toutes les métadonnées du dépôt sont signées. N'ajoutez jamais --nogpgcheck ni --allow-untrusted ; comparez l'empreinte que votre gestionnaire de paquets affiche avec celle ci-dessus. Commandes à lancer en root.

Fedora, RHEL, Rocky, Alma (dnf)

dnf

curl -fsSL -o /etc/yum.repos.d/unofficial-repository-proxmox-backup-client.repo \
  https://nimbus.rdem-systems.com/unofficial-repository-proxmox-backup-client/rpm/unofficial-repository-proxmox-backup-client.repo
dnf install proxmox-backup-client

Arch Linux (pacman)

pacman

curl -fsSL -o /tmp/upc.asc https://nimbus.rdem-systems.com/unofficial-repository-proxmox-backup-client/keys/unofficial-repository-proxmox-backup-client.asc
gpg --show-keys /tmp/upc.asc      # comparez avec l'empreinte ci-dessus
pacman-key --add /tmp/upc.asc
pacman-key --lsign-key "$(gpg --with-colons --show-keys /tmp/upc.asc | awk -F: '/^fpr:/{print $10; exit}')"
printf '\n[unofficial-repository-proxmox-backup-client]\nServer = https://nimbus.rdem-systems.com/unofficial-repository-proxmox-backup-client/arch/$arch\n' >> /etc/pacman.conf
pacman -Syu proxmox-backup-client

Alpine (apk)

apk

wget -O /etc/apk/keys/unofficial-repository-proxmox-backup-client.rsa.pub \
  https://nimbus.rdem-systems.com/unofficial-repository-proxmox-backup-client/keys/unofficial-repository-proxmox-backup-client.rsa.pub
echo "https://nimbus.rdem-systems.com/unofficial-repository-proxmox-backup-client/alpine" >> /etc/apk/repositories
apk add proxmox-backup-client

Debian, Ubuntu (apt)

Le dépôt apt sert le .deb de Proxmox sans modification (même SHA256 qu'en amont). Sur Debian, le dépôt pbs-client de Proxmox reste l'alternative officielle.

apt

install -d /etc/apt/keyrings
curl -fsSL -o /etc/apt/keyrings/unofficial-repository-proxmox-backup-client.asc https://nimbus.rdem-systems.com/unofficial-repository-proxmox-backup-client/keys/unofficial-repository-proxmox-backup-client.asc
echo "deb [signed-by=/etc/apt/keyrings/unofficial-repository-proxmox-backup-client.asc] https://nimbus.rdem-systems.com/unofficial-repository-proxmox-backup-client/deb stable main" \
  > /etc/apt/sources.list.d/unofficial-repository-proxmox-backup-client.list
apt update && apt install proxmox-backup-client-static

Variante manuelle, sans télécharger notre fichier de configuration

Les commandes ci-dessus écrivent un fichier de dépôt téléchargé chez nous. Si vous préférez ne récupérer que la clé, vérifier son empreinte, puis écrire la configuration vous-même, voici l'équivalent exact. Le dépôt est alors déclaré avec une clé locale : plus aucun fichier de configuration n'est tiré de nos serveurs.

1. la clé, vérifiée avant d'être installée (RPM, pacman, apt)

curl -fsSL -o upc.asc https://nimbus.rdem-systems.com/unofficial-repository-proxmox-backup-client/keys/unofficial-repository-proxmox-backup-client.asc
gpg --show-keys --with-fingerprint upc.asc
# doit afficher : 827D EFD8 FDAD 5EE6 4080  5C30 904E B81A 1243 150F

2a. dnf — clé locale, fichier .repo écrit à la main

install -Dm644 upc.asc /etc/pki/rpm-gpg/RPM-GPG-KEY-unofficial-repository-proxmox-backup-client
cat > /etc/yum.repos.d/unofficial-repository-proxmox-backup-client.repo <<'EOF'
[unofficial-repository-proxmox-backup-client]
name=Unofficial proxmox-backup-client (RDEM Systems)
baseurl=https://nimbus.rdem-systems.com/unofficial-repository-proxmox-backup-client/rpm/$basearch
enabled=1
gpgcheck=1
repo_gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-unofficial-repository-proxmox-backup-client
EOF
dnf install proxmox-backup-client

2b. apt — format deb822, clé locale

install -Dm644 upc.asc /etc/apt/keyrings/unofficial-repository-proxmox-backup-client.asc
cat > /etc/apt/sources.list.d/unofficial-repository-proxmox-backup-client.sources <<'EOF'
Types: deb
URIs: https://nimbus.rdem-systems.com/unofficial-repository-proxmox-backup-client/deb
Suites: stable
Components: main
Signed-By: /etc/apt/keyrings/unofficial-repository-proxmox-backup-client.asc
EOF
apt update && apt install proxmox-backup-client-static

2c. pacman — bloc à ajouter à la fin de /etc/pacman.conf

pacman-key --add upc.asc
pacman-key --lsign-key 827DEFD8FDAD5EE640805C30904EB81A1243150F

# puis, à la fin de /etc/pacman.conf :
[unofficial-repository-proxmox-backup-client]
SigLevel = Required DatabaseRequired
Server = https://nimbus.rdem-systems.com/unofficial-repository-proxmox-backup-client/arch/$arch

2d. apk — la clé APK est une clé RSA, vérifiée par son SHA256

wget -O upc.rsa.pub https://nimbus.rdem-systems.com/unofficial-repository-proxmox-backup-client/keys/unofficial-repository-proxmox-backup-client.rsa.pub
sha256sum upc.rsa.pub        # comparez avec keys/FINGERPRINTS.txt
install -Dm644 upc.rsa.pub /etc/apk/keys/unofficial-repository-proxmox-backup-client.rsa.pub

# puis, à la fin de /etc/apk/repositories :
https://nimbus.rdem-systems.com/unofficial-repository-proxmox-backup-client/alpine

Ensuite, reliez-le à un Proxmox Backup Server, chiffrez, planifiez et restaurez : le guide pas à pas.

Proxmox ne livre pas non plus de client Windows. Nous maintenons une interface graphique pour Windows, dont le code est remonté en amont chez tizbac, l'auteur du client Go d'origine — et publiée sur GitHub.

Pourquoi un dépôt, et pas un binaire déposé sur le serveur

Le conseil de télécharger le binaire statique et de le copier dans /usr/local/bin circule beaucoup. Il fonctionne le premier jour, et c'est tout le problème : le binaire sort de la gestion des correctifs. Un paquet, lui :

se met à jour avec le reste de la machine, par dnf upgrade ou apt upgrade ;
apparaît dans l'inventaire — rpm -q, dpkg -l, apk info -v, pacman -Qi répondent « quelle version tourne ici » ;
se vérifie après l'installation (rpm -V) et se désinstalle proprement, liens de certificats compris.

Proxmox publie environ une version par mois. Un binaire copié à la main devient vite le plus vieux logiciel du parc, et celui que personne ne sait retrouver le jour d'un audit.

Tenir ce dépôt, le signer, le tester dans 27 conteneurs et suivre l'amont tous les jours nous coûte du temps — nettement plus que de publier un lien de téléchargement. C'est un choix : votre client de sauvegarde doit se gérer comme le reste de vos serveurs.

La seule modification que nous faisons

Le binaire statique a été compilé avec le répertoire OpenSSL de Debian, /usr/lib/ssl, inscrit en dur. Hors Debian et Ubuntu, ce répertoire n'existe pas : le client refuse alors des certificats valides et demande une empreinte : certificate validation failed - Certificate fingerprint was not confirmed. Nous l'avons reproduit sur Alpine 3.24 et Fedora 43.

Nos paquets RPM, Arch et Alpine ajoutent donc deux liens symboliques, /usr/lib/ssl/cert.pem et /usr/lib/ssl/certs, vers les certificats de la distribution. Ces deux-là seulement : lier tout le répertoire ferait aussi lire à l'OpenSSL statique le openssl.cnf de la distribution. Les binaires, pages de manuel et complétions shell sont les fichiers d'origine. Les fichiers .deb sont servis sans modification.

Provenance et vérification

Le fichier InRelease de Proxmox est vérifié avec une copie épinglée du trousseau d'archive de Proxmox.
L'index Packages est vérifié contre le SHA256 inscrit dans ce fichier signé.
Chaque .deb est vérifié contre le SHA256 et la taille inscrits dans Packages, puis décompressé.
Les paquets sont construits avec nfpm et signés. Les paquets amd64 sont installés depuis le dépôt signé dans 27 conteneurs — CentOS 7, Rocky Linux 8/9/10, AlmaLinux 8/9/10, Fedora 42/43/44, Arch, Alpine 3.20 à 3.24, Debian 10 à 13, testing et sid, Ubuntu 20.04, 22.04, 24.04, 25.10 et 26.04 (chaque version encore supportée, plus au moins la dernière sortie du support) — et une release n'est publiée, à la main, qu'une fois ces tests réussis. Les paquets arm64 sont construits et signés de la même façon, mais pas encore testés à l'installation.

La CI tourne sur notre infrastructure Proxmox, et nous avons dû changer un paramètre pour créer ce dépôt. Si vous voulez d'autres distributions, faites-le-nous savoir, en nous disant pourquoi.

index.json indique, pour chaque fichier, la version amont, le composant Proxmox d'origine, le SHA256 du .deb amont et le SHA256 de notre paquet. SHA256SUMS, signé avec la même clé (SHA256SUMS.asc), couvre chaque fichier de la release : notre serveur web le vérifie avant de servir une nouvelle release.

Nous ne sommes pas les premiers

D'autres empaquetages non officiels existaient avant celui-ci, tenus bénévolement, et ils méritent d'être cités :

pbs-client de Ciro Iriarte, construit sur l'openSUSE Build Service : il recompile le client depuis les sources pour openSUSE, Rocky Linux, Ubuntu et Debian, et empaquette aussi pxar et proxmox-file-restore. Démarche opposée à la nôtre, qui ne recompile rien — et complémentaire, puisqu'il couvre openSUSE, que nous ne couvrons pas.
L'AUR pour Arch Linux, et plusieurs projets COPR pour Fedora et RHEL.

Ce que nous faisons différemment : la vérification de l'amont est quotidienne et automatisée, chaque version passe les tests d'installation avant publication, et les métadonnées sont signées. Au 16 septembre 2026, l'amont était en 4.2.5-1 et les paquets AUR et COPR cités entre 4.0.16 et 4.2.2. C'est un constat daté, pas un reproche : suivre un amont qui publie une version par mois demande une chaîne automatisée, et c'est précisément ce que nous avons construit.

Code source et licences

proxmox-backup-client : Copyright Proxmox Server Solutions GmbH, GNU AGPL v3 ou ultérieure. Chaque release publie, sous source/, un zip des sources de Proxmox au commit « bump version to X » dont le binaire est issu. Amont : git.proxmox.com.
Scripts de build et pipeline : MIT, github.com/rdemsystems/unofficial-proxmox-backup-client.
arm64 : Proxmox publie son build statique aarch64 officiel dans le composant test de son dépôt client. Nous empaquetons ce build tel quel, et l'indiquons.

Un problème, ou une faille de sécurité dans le dépôt ? Contactez-nous.

Votre client est installé. Il lui faut une cible externalisée.

NimbusBackup exploite des Proxmox Backup Server managés, facturés au To utile, avec un jeton qui ne peut pas supprimer : une machine volée ne peut pas supprimer elle-même ses propres sauvegardes.

Un cas d'usage complet, testé avec ce client : sauvegarder MariaDB vers Proxmox Backup Server (dumps, binlogs, restauration à la minute près).

Offres PBS managé

Pas encore sûr du volume ni du niveau de protection ? Choisir mon backup pose quelques questions et propose l'offre correspondante.