rsync配置文件怎么修改？rsync配置文件参数详解

rsync配置文件核心结论

rsync配置文件（/etc/rsyncd.conf）是构建高效、安全、自动化数据同步体系的基石。 它的核心价值不在于记住每个参数，而在于通过模块化设计实现按需同步、权限隔离、传输加密三大目标，合理配置rsync，能让服务器间的数据备份与分发从手工操作升级为无人值守的自动化流程,同时避免因配置不当导致的权限错乱和数据泄露风险。

rsync配置文件的结构与运行机制

rsync的配置文件遵循INI式语法，由全局参数和模块参数两大部分组成，全局参数作用于整个rsync服务，模块参数则通过方括号[模块名]定义独立的同步目录，每个模块拥有独立的路径、权限和认证策略。

配置文件的生效逻辑遵循”先全局、后模块”的覆盖原则：模块内未指定的参数继承全局值，模块内显式定义的参数则覆盖全局设定，理解这一层级关系,是编写精准配置的前提。

配置文件的基础骨架如下：

# 全局参数
uid = rsync
gid = rsync
use chroot = yes
max connections = 10
pid file = /var/run/rsyncd.pid
log file = /var/log/rsync.log
# 模块定义
[backup]
path = /data/backup
comment = Backup Directory
read only = no
auth users = backup_user
secrets file = /etc/rsync.secrets

全局参数：定义服务运行基线

全局参数决定rsync守护进程的资源边界和运行行为,以下四项是生产环境中的关键基线：

• uid/gid：指定rsync进程运行时的用户和组身份。务必使用专用低权限账号（如rsync），严禁使用root，一旦配置了use chroot = yes，rsync会将同步目录锁定在chroot环境中，即使发生入侵也无法访问系统其他路径,这是最重要的安全防线。

• max connections：限制最大并发连接数，防止突发同步任务耗尽服务器带宽和文件句柄，建议根据服务器性能设定为5-20。

• pid file与log file：分别指定进程ID和日志输出路径，日志文件是排查同步故障的第一手依据，

  

  建议开启transfer logging = yes单独记录传输日志，与系统日志分离,便于审计。

• timeout：设置连接超时时间（单位秒），避免因客户端异常断开导致服务端进程长期挂起，建议设为300-600秒。

模块参数：精准控制每个同步任务

模块是rsync配置的核心单元，一个配置文件中可以定义多个模块,每个模块对应一个独立的同步目录和访问策略。

path 是模块必填参数，指定实际同步的根目录，需确保该路径存在，且属主与uid/gid一致,否则会出现权限拒绝错误。

read only 控制客户端能否上传文件，备份场景通常设为no允许写入，分发场景则设为yes仅允许下载。

list 参数控制客户端执行rsync --list-only时是否能看到该模块。设为no可隐藏敏感目录,降低被探测风险。

exclude from 参数指定一个文件，内容为需要排除的路径或通配符规则。强烈建议将临时文件（.tmp）、缓存目录和日志文件纳入排除清单，减少无效传输量,提升同步效率。

认证与安全：防线是配置的重中之重

rsync本身不提供加密传输，认证安全完全依赖配置文件中的参数组合。 生产环境必须配置以下安全要素：

• auth users：指定允许连接的用户名，多个用户用逗号分隔，该用户是逻辑账号,不必与系统账号对应。

• secrets file：存放用户名与密码的映射文件，格式为用户名:密码。文件权限必须设为600，否则rsync服务会拒绝启动，密码明文存储,需确保文件仅root可读。

• hosts allow / hosts deny：基于IP的访问控制白名单和黑名单。生产环境务必配置hosts allow，只放行已知的备份服务器或办公网IP段,从网络层拦截未授权访问。

  

• 结合ssh tunnel实现加密：当同步数据涉及敏感信息时，建议改用rsync over ssh模式（即客户端使用rsync -avz -e ssh），跳过rsync守护进程，直接利用SSH的加密通道和认证机制，此方案配置文件更为简单,安全性更高。

实战调优：解决同步中的常见性能瓶颈

配置文件的优化目标是最大化同步效率，同时最小化服务器负载。 以下是三类典型场景的配置调优策略：

大文件批量同步场景

大数据量的首次同步建议在模块中启用compress = yes开启传输压缩，并合理设置bwlimit（单位KB/s）限制带宽占用，避免同步任务挤占业务带宽，例如bwlimit = 5000表示限速5MB/s。

海量小文件同步场景

当同步目录包含数十万个小文件时，rsync的逐文件比对会消耗大量CPU。建议在模块中开启use chroot = yes并配合--delete参数，同时考虑改用inotify实时监控触发增量同步,替代传统定时全量扫描。

多机分发场景

一台源服务器向多台目标机分发数据时，在源端配置多个模块分别指向不同目标目录，并为每个模块设置独立的max connections,避免单模块连接数耗尽影响其他分发任务。

酷番云经验案例：多机同步配置实践

背景： 酷番云某用户部署了三台云服务器，分别承担Web应用、数据库备份和静态资源存储职能，原方案使用定时任务配合scp手动同步,经常因权限不一致和传输中断导致数据缺失。

配置方案： 我们在三台服务器上统一部署rsync,通过配置文件实现分层同步：

# 应用服务器上的配置（作为同步源）
[web]
path = /var/www/html
read only = yes
auth users = sync_user
secrets file = /etc/rsync.secrets
hosts allow = 10.0.0.0/24

效果： 备份服务器每小时从应用服务器拉取Web文件增量，静态资源服务器则实时接收图片上传目录的更新，借助exclude from排除缓存目录后，单次同步数据量下降60%，备份时长从40分钟缩短至8分钟。整个配置过程的核心经验是：先用rsync --dry-run模拟执行确认文件列表无误，再正式启用定时任务,避免因排除规则写错导致误删文件。

常见问题排查思路

同步报错@ERROR: auth failed on module

优先检查secrets file中用户名密码是否匹配，其次确认secrets文件权限是否为600，最后核对客户端命令中使用的用户名是否在auth users列表中。

连接被拒绝但防火墙已放行

检查rsync服务是否监听在正确的端口（默认873），使用ss -lntp | grep 873确认进程状态，同时验证hosts allow中是否误将客户端IP排除在外。

同步后文件属主异常

这是uid/gid配置与源文件属主不一致导致，在配置文件中明确uid = 源文件属主，或者同步时在客户端添加--owner --group参数强制保留属主信息。

相关问答

问：rsync配置文件中，如何实现多客户端使用不同密码访问同一模块？

在secrets file中为每个客户端创建独立的用户名和密码条目，格式为用户名1:密码1和用户名2:密码2，然后在模块的auth users参数中列出所有允许访问的用户名，用逗号分隔即可，每个客户端连接时使用自己的账号密码,互不干扰。

问：配置文件修改后，是否需要重启rsync服务才能生效？

是的，rsync守护进程不会自动热加载配置文件，修改配置后需执行kill -HUP $(cat /var/run/rsyncd.pid)或systemctl restart rsync使改动生效。但需注意，重启会中断正在进行的同步任务,建议在业务低峰期操作。