如何安全地配置rsync服务.docVIP

rsync 是一个远程数据同步工具，可通过 LAN/WAN 快速同步多台主机间的文件。rsync 本来是用以取代rcp 的一个工具，它当前由 rsync.samba.org 维护。rsync 使用所谓的“rsync 演算法”来使本地和远程两个主机之间的文件达到同步，这个算法只传送两个文件的不同部分，而不是每次都整份传送，因此速度相当快。运行 rsync server 的机器也叫 backup server，一个 rsync server 可同时备份多个 client 的数据；也可以多个rsync server 备份一个 client 的数据。默认配置的的，修改配置提升安全性。rsync的常见使用方式有两种：基于daemon方式的rsyncd服务和基于ssh方式的rsync over ssh方式。对于rsync over ssh的使用方式，由于需要在同步脚本中配置操作系统层的用户和交换密钥（或写入密码明文），这可能会带来操作系统层面的用户访问安全隐患，因此并不建议采用这种方式。对于rsync daemon的使用方式，由于这种方式下数据传输是采用明文方式，所以必须要严格限定可以访问该rsync服务的客户端IP，并采用配置auth users和用户密码文件等手段，增强对于虚拟用户层的安全认证。除此之外， rsync daemon对外提供的目录文件同步应为只读模式，即只允许客户端以只读的方式从服务端进行“拉数据”的操作，不建议客户端主动发起修改数据的操作。 另外，出于安全层面的考虑以及对于操作系统配置一致性的要求，在系统环境下默认要禁用OS自带的rsync daemon服务，然后再rsync的基本特点 rsync 的基本特点如下： 1 用于Linux下不同主机之间的数据镜像，可以镜像保存整个目录树和文件系统，并做到保持原来文件的权限、时间、软硬链接等。 2 rsync虽然可以做到主机站点的文件镜像备份，但只能做到定时（或手动）进行增量数据的同步，即每次的数据同步操作是被动发起的，仅适用于对于数据同步实时性要求不高的应用。 3 可以对目录下的文件做到增量同步传输，rsync通过特定算法只传送文件数据中的变化部分，支持数据压缩传输，对网络带宽占用较小，具有较高的文件传输效率。 4 通过在服务端设置白名单，可以限定客户端访问的IP地址和用户认证方式；daemon模式默认为只读模式，不允许客户端上传和修改数据；支持匿名传输；通过以上方式，可实现较高的安全性。 不适用于rsync的场景 作为一种高效的文件镜像备份和增量数据同步复制传输工具，rsync虽然有其特定的优势，但在某些场景下并不适用： 1 对于应用程序之间的数据交换，应优先考虑使用文件传输管理系统或共享盘的方式进行 2 不适用于文件的永久存放，rsync本身只是一个文件传输工具，并不涉及对于存储资源的容量及可用性承诺，在确定使用rsync之前先做好存储资源评估和可用性评估。 3 不适用于海量文件(文件数大于100000）的数据增量同步，rsync的增量对比算法会消耗服务器较多的CPU资源，对于服务端的性能影响较大。 4 不适用于高客户连接并发量（并发数大于100）的数据镜像，因为高并发会消耗较多的服务端CPU资源，从而可能影响到服务端生产应用的性能稳定性。 5 rsync传输的默认方式为明文传输，不适用于对数据传输安全要求极高的场景。 rsync daemon服务端配置 1.确保主机已经安装了最新的 2. 配置rsyncd.conf文件 不允许直接使用/etc/rsyncd.conf文件，用户应该把与rsync相关的配置文件和日志放在自己的应用程序目录下，生产环境的实施通过发布平台来部署，例如： 路径目录 文件及目录作用 相关参数 路径 /app/app_demo/conf/rsync 配置文件 　 /app/app_demo/conf/rsync/rsyncd.conf l log file /app/app_demo/conf/rsync/rsyncd.log lock文件 lock file /app/app_demo/conf/rsync/rsyncd.lock pid文件 pid_file /app/app_demo/conf/rsync/rsyncd.pid secrets file /app/app_demo/conf/rsync/rsyncd.secrets 登录提示 motd file /app/app_demo/conf/rsync/rsyncd.motd 下面简单介绍一下rsyncd.conf文件中的相关参数含义： secrets file = /app/app_demo/conf/rsync/rsyncd.secr