rsync有两种常见网络方式：通过SSH执行远程rsync，以及直接连接rsync daemon。命令中user@host:path通常是SSH模式，host::module或rsync://通常是Daemon模式。两者不能用同一条代理教程处理。
两种模式对比
| 模式 | 传输与认证 | 代理路径 |
|---|---|---|
| SSH模式 | SSH主机密钥、用户和密钥 | ProxyJump、ProxyCommand或SSH可达网络 |
| Daemon模式 | rsync协议与模块认证 | 直连、SOCKS/TCP通道或私网 |
SSH模式如何使用跳板机
最稳妥的做法是在OpenSSH配置中为目标主机设置ProxyJump，rsync通过-e ssh调用相同配置。这样主机密钥、用户与跳板路径集中管理。不要把私钥路径和密码写入公开同步脚本。
ProxyCommand与SOCKS如何配合
某些环境可通过支持SOCKS的辅助工具在ProxyCommand中建立TCP连接。必须使用可信工具、固定配置并保留目标主机密钥验证。详细边界可参考SSH代理与跳板机指南。
Daemon模式为什么不能读取HTTP_PROXY
rsync daemon使用自己的TCP协议，不是HTTP请求。普通HTTP代理不会自动转发；若使用SOCKS或CONNECT隧道，客户端或外部工具需明确支持，并且目标端口得到批准。Daemon模式本身不等于加密传输。
Daemon模式的安全风险
直接暴露rsync daemon应限制监听地址、防火墙、模块权限、只读规则和认证文件权限。认证口令不能替代网络加密。跨不受信网络更适合SSH模式、VPN或安全专线。
代理与跳板机会影响增量算法吗
rsync的文件差异计算仍在两端完成，代理主要影响延迟、带宽和连接稳定性。大量小文件对往返延迟敏感，大文件则受吞吐和断线影响。压缩是否有收益取决于文件类型，已经压缩的媒体和归档再次压缩可能浪费CPU。
断线后如何恢复
rsync支持保留部分文件和继续传输的相关选项，但应按版本与业务需求选择。恢复前确认源文件没有变化，并校验最终大小和哈希。关键文件可先同步到临时目录，验证后再切换。
–delete为何特别危险
网络恢复后，脚本可能使用了错误挂载点、空源目录或错误主机。如果同时使用--delete，目标文件可能被大量删除。正式执行前使用--dry-run，检查源路径、目标路径、排除规则和删除清单，并设置备份或快照。
连接池与并发应怎样控制
rsync本身常为单次会话，但自动化平台可能并行启动多个任务。跳板机、代理和目标磁盘都会成为瓶颈。应限制并发、错峰执行并记录每个任务的字节数、耗时和退出码。
日志里不要记录什么
避免输出私钥内容、Daemon密码文件、完整内部路径和敏感文件名。日志可记录任务ID、源目标标识、文件数量、字节数、退出码和校验结果。详细文件列表应限制访问和保留时间。
排查顺序
- 确认SSH还是Daemon模式；
- 记录rsync、SSH版本及实际命令；
- 验证DNS、TCP与主机密钥；
- 检查跳板机、SOCKS或端口策略；
- 先同步小型测试目录；
- 模拟断线并验证恢复和哈希；
- dry-run检查删除行为后再执行。
结论
rsync代理配置取决于传输模式。SSH模式沿用OpenSSH的跳板和主机验证，Daemon模式则需要独立TCP安全设计；无论哪种方式，恢复与删除操作都必须先做校验。
