一、引言：自动化同步的“最后一公里”
在 Nginx 运维中，我们常使用 rsync 来同步静态资源或配置文件。为了实现完全自动化（例如，在 CI/CD 流水线或定时任务中），我们必须解决一个问题：如何让 rsync 在无人值守的情况下自动提供密码？
手动输入密码显然行不通。rsync 提供了两种主要的免密方案：
本文将聚焦于第二种方案——密码文件（Password File）的配置与使用。虽然 SSH 模式更常见，但在某些内部网络或特定架构下，rsync Daemon 模式因其轻量和高效而被采用，此时密码文件就是关键。
二、核心概念：两种密码文件
在 rsync Daemon 模式下，存在两种密码文件，分别位于服务端和客户端，作用截然不同。
1. 服务端密码文件（Secrets File）
- 位置：在运行 rsync 守护进程的服务器上。
- 作用：存储用户名和密码的映射关系，用于验证连接进来的客户端。
- 格式：纯文本，每行一个 username:password 对。
# /etc/rsyncd.secrets
nginx_sync:MySecurePass123!
backup_user:AnotherPass456@
2. 客户端密码文件（Password File）
- 位置：在发起 rsync 同步命令的客户端机器上。
- 作用：仅包含密码。当客户端连接服务端时，通过 –password-file 参数指定此文件，自动读取密码进行认证。
- 格式：纯文本，只有一行，即密码本身。
# ~/rsync.pass
MySecurePass123!
✅ 重要区别：服务端文件是 用户:密码，客户端文件只有密码！
三、实战：从零配置 rsync 密码认证
假设我们有两台服务器：
- 服务端 (192.168.1.100)：存放 Nginx 配置的中央仓库。
- 客户端 (192.168.1.101)：需要从服务端拉取最新配置的 Nginx Web 服务器。
Step 1: 在服务端配置 rsync 守护进程
创建服务端密码文件
sudo vim /etc/rsyncd.secrets
内容如下：
nginx_sync:MySecurePass123!
设置严格的文件权限
这是安全的关键！密码文件必须仅对 root 可读。
sudo chmod 600 /etc/rsyncd.secrets
sudo chown root:root /etc/rsyncd.secrets
编辑主配置文件 /etc/rsyncd.conf
# 全局设置
uid = nobody
gid = nobody
use chroot = yes
read only = no
hosts allow = 192.168.1.0/24
hosts deny = *
max connections = 5
pid file = /var/run/rsyncd.pid
lock file = /var/run/rsync.lock
log file = /var/log/rsync.log
# 定义一个名为 'nginx_conf' 的模块
[nginx_conf]
path = /data/nginx_configs
comment = Nginx Configuration Repository
auth users = nginx_sync # 指定允许访问的用户
secrets file = /etc/rsyncd.secrets # 指向服务端密码文件
启动 rsync 服务
# CentOS/RHEL
sudo systemctl start rsyncd
sudo systemctl enable rsyncd
# Ubuntu/Debian (可能需要先安装)
sudo systemctl start rsync
sudo systemctl enable rsync
Step 2: 在客户端配置密码文件并测试
创建客户端密码文件
在客户端（192.168.1.101）上操作：
vim ~/rsync.pass
内容只有一行：
MySecurePass123!
同样设置严格的文件权限
chmod 600 ~/rsync.pass
执行同步命令
# 从服务端拉取 nginx_conf 模块的内容到本地 /tmp 目录
rsync -av \\
–password-file=~/rsync.pass \\
rsync://nginx_sync@192.168.1.100/nginx_conf/ \\
/tmp/nginx_configs/
- –password-file：指定客户端密码文件。
- rsync://user@host/module/：rsync Daemon 模式的标准 URI 格式。
如果命令成功执行且没有提示输入密码，说明配置完全正确！
四、关键安全注意事项
文件权限至关重要：
- 服务端 (/etc/rsyncd.secrets) 和客户端 (~/rsync.pass) 的密码文件权限都必须是 600。
- 如果权限过于宽松（如 644），rsync 出于安全考虑会拒绝使用该文件，并报错。
避免在命令行中明文暴露密码：
绝对不要使用 –password='your_password' 这样的方式，因为密码会记录在 shell 历史中，极易泄露。
网络隔离：
rsync Daemon 默认监听 TCP 873 端口。务必通过防火墙（hosts allow），仅允许可信的客户端 IP 访问。
使用强密码：
为 rsync 用户设置足够复杂且唯一的密码。
五、与 SSH 模式的对比
| 安全性 | 依赖密码强度和网络隔离 | 基于 SSH 密钥，安全性极高 |
| 配置复杂度 | 需要配置守护进程和两个密码文件 | 只需配置 SSH 公钥 |
| 性能 | 略高（无 SSH 加解密开销） | 略低（有加解密开销） |
| 适用场景 | 内部高速、可信网络 | 所有场景，尤其是跨公网 |
📌 建议：除非有明确的性能要求或特殊架构限制，优先选择 rsync over SSH 模式，它更简单、更安全。
六、结语
感谢您的阅读！如果你有任何疑问或想要分享的经验，请在评论区留言交流！
