Как правильно делать бэкап VPS?

Бэкапьте данные, а не машину. Базам данных нужен правильный дамп или консистентный на уровне файловой системы снапшот, а не наивная файловая копия работающего каталога данных, которая даёт повреждённую копию, выглядящую успешной.

Шифруйте до того, как данные покинут инстанс. restic и Borg оба шифруют на стороне клиента, поэтому цель бэкапа — включая нашу — никогда не видит открытый текст.

• restic backup /srv --repo sftp:backup-host:/repo, with a password file
• Сначала дампьте базы: pg_dump или mariabackup, затем бэкапьте дамп
• Храните хотя бы одну копию в другой юрисдикции
• Планируйте тест восстановления ежеквартально и заносите его в календарь