rsyncd.conf - конфигурационный файл для rsync-сервера
СИНТАКСИС
rsyncd.conf
ОПИСАНИЕ
rsyncd.conf конфигурационный файл для rsync при запуске в режиме
rsync-сервера.
Файл rsyncd.conf управляет модулями аутентификации, доступа,
протоколирования, а также другими доступными модулями.
ФОРМАТ ФАЙЛА
Файл состоит из модулей и параметров.
Модуль начинается своим именем в квадратных скобках и продолжается
до начала следующего модуля.
Модули содержат параметры в виде 'name = value'.
Формат файла построчный.
Это означает, что каждая строка, заканчивающаяся специальным
символом-признаком новой строки, содержит либо комментарий, либо имя
модуля, либо параметр.
Только первый знак равенства в описании параметра является значимым.
Пробелы до или после знака равенства отбрасываются.
Пробелы в начале, в конце и в середине имен модуля или параметра
недопустимы.
Пробелы в начале или в конце значения параметра отбрасываются.
Пробелы внутри значений параметров остаются неизменными.
Любая строка, начинающаяся с хеша (#), пропускается, также как и
строки, состоящие только из пробелов.
Любая строка, оканчивающаяся на \, "продолжается" со следующей
строкой в привычной для UNIX манере.
Все значения, следующие за знаком равенства в параметрах, либо
строковые (кавычки не нужны), либо логические.
Последние могут принимать значения yes/no, 0/1 или true/false.
Регистр букв не играет роли для логических значений, но для
строковых он сохраняется как есть.
ЗАПУСК RSYNC-ДЕМОНА
rsync-демон запускается при указании параметра --daemon для rsync.
Демон должен быть запущен от root'а, если Вы хотите использовать либо
chroot, либо порт для клиентских подключений с номером ниже 1024
(например, по умолчанию порт 873), либо возможность установки прав
и атрибутов владения файлами.
В противном случае, он должен только иметь соответствующие разрешения
на чтение и запись в файлы данных, файлы журналов и блокировки.
Вы можете запустить rsync-демон разными способами: с помощью inetd,
как самостоятельный демон или по запросу rsync-клиента,
подключающегося через программу удаленной оболочки.
Для запуска самостоятельным демоном достаточно команды "rsync
--daemon" в соответствующем скрипте запуска.
В случае запуска при подключении rsync-клиента через программу
удаленной оболочки (указанием двух компонент командной строки, а
именно параметра "-e/--rsh" и одного из признаков режима сервера "::"
или "rsync://") параметр --daemon автоматически применяется на
удаленной стороне.
При запуске от inetd Вам нужно добавить следующую строчку в
/etc/services:
Замените "/usr/bin/rsync" тем путем, где у Вас в системе установлена
программа rsync.
Затем Вам необходимо послать inetd сигнал HUP, чтобы он перечитал свой
конфигурационный файл.
Заметьте, что Вам не нужно посылать rsync-серверу сигнал HUP для
принудительного прочтения файла rsyncd.conf .
Этот файл перечитывается при каждом клиентском подключении.
ОБЩИЕ ПАРАМЕТРЫ
Все параметры в начале файла (до первого заголовка [модуль]) являются
общими параметрами.
У Вас также есть возможность помещать любые параметры, специфичные для
модулей, в общую часть конфигурационного файла, для того чтобы
заменить указанным при этом значением значение по умолчанию для этого
параметра.
motd file
Параметр "motd file" позволяет Вам указать "message of the day"
("сообщение текущего дня") для выдачи его каждому клиентскому
подключению.
Оно обычно содержит информацию о сайте и какие-либо правовые
предупреждения.
По умолчанию пуст.
log file
Параметр "log file" указывает rsync-демону файл для ведения журнала
сообщений вместо использования для этой цели syslog.
Это особенно полезно на таких системах (например, AIX), где syslog()
не работает для программ в chroot-окружении.
pid file
Параметр "pid file" указывает rsync-демону файл, куда он должен
записать id своего процесса.
syslog facility
Параметр "syslog facility" позволяет Вам указать имя
syslog-возможности для журналирования сообщений от rsync-демона.
Вы можете использовать любую стандартную syslog-возможность, которая
определена в Вашей системе.
Общепринятые значения для этого - auth, authpriv, cron, daemon, ftp,
kern, lpr, mail, news, security, syslog, user, uucp, local0, local1,
local2, local3, local4, local5, local6 и local7.
По умолчанию используется ftp.
socket options
Этот параметр может дать бесконечное удовольствие людям, любящим
доводить свои системы настройкой до наилучшего уровня.
Вы можете контролировать разнообразные параметры сокета, изменение
которых может привести к росту (или уменьшению!) скорости передачи.
Прочитайте руководство для системного вызова setsockopt() на предмет
подробностей о тех параметрах, которыми Вы можете управлять.
По умолчанию никакие специальные параметры сокета не устанавливаются.
ПАРАМЕТРЫ МОДУЛЕЙ
После общих параметров Вам нужно определить модули, каждый из которых
предоставляет доступ извне к части дерева каталогов в виде
символического имени.
Модуль создается при указании его имени в квадратных скобках [модуль]
и следующих затем параметров модуля.
comment
Параметр "comment" указывает строку описания, которая показывается
вслед за именем модуля, когда клиенты запрашивают список доступных
модулей.
По умолчанию у модулей нет никакого описания.
path
Параметр "path" указывает каталог файловой системы сервера, который
делается доступным этим модулем.
Вы должны обязательно указать этот параметр для каждого модуля в
rsyncd.conf.
use chroot
Если параметр "use chroot" установлен в true, то rsync-сервер будет
выполнять chroot в каталог "path" перед началом приема(передачи)
файла от(к) клиента(у).
Эта особенность позволяет дополнительно защититься от реализаций
использования возможных опасных "дыр", но при этом имеет следующие
недостатки: требует привилегий супер-пользователя для запуска,
отключается возможность следования по символьным ссылкам за пределы
нового корневого (chroot) каталога при чтении, а также подразумевается
активным параметр --numeric-ids, потому что /etc/passwd становится
недоступным.
Если параметр "use chroot" установлен в false, то из безопасных
соображений символьные ссылки на другие файлы могут быть только
относительными в пределах каталога, указанного в параметре "path", а
все начальные слэши удаляются из абсолютных путей.
По умолчанию "use chroot" установлен в true.
max connections
Параметр "max connections" позволяет Вам указать
максимально-допустимое количество одновременных подключений.
Любой клиент, пытающийся подключиться, когда достигнут этот предел,
будет получать сообщение с просьбой подключиться позднее.
По умолчанию значение 0, которое означает отсутствие ограничения.
См. также параметр "lock file".
lock file
Параметр "lock file" указывает файл, который нужно использовать для
поддержки работы параметра "max connections".
rsync-сервер использует блокировку на этом файле для гарантии, что
количество подключений никогда не превысит установленный предел для
модулей, разделяющих этот общий файл блокировки.
По умолчанию используется /var/run/rsyncd.lock.
read only
Параметр "read only" определяет могут ли клиенты загружать файлы на
rsync-сервер или нет.
Если "read only" установлен в true, то любые попытки загрузки будут
завершаться ошибкой.
Если "read only" установлен в false, то загрузка на сервер возможна
при том условии, что соответственно установлены разрешения для
файлов.
По умолчанию для всех модулей действует режим только чтения.
list
Параметр "list" определяет должен ли модуль присутствовать в списке
доступных модулей, который запрашивают клиенты.
Установкой этого параметра в false Вы можете создавать скрытые
модули.
По умолчанию модули открыты для просмотра в списке.
uid
Параметр "uid" указывает имя или id пользователя, от которого
происходят прием и передача файлов для модуля, в случае если
сам rsync-демон был запущен с правами супер-пользователя.
В комбинации с параметром "gid" он определяет права доступа к
файлам.
По умолчанию соответствует пользователю "rsyncd".
gid
Параметр "gid" указывает имя или id группы, от которой происходят
прием и передача файлов для модуля, в случае если сам rsync-демон был
запущен с правами супер-пользователя.
Этот параметр дополняет параметр "uid".
По умолчанию принимается равным группе "rsyncd".
exclude
Параметр "exclude" позволяет указать разделенный пробелами список
шаблонов, добавляемых к списку исключений.
Этот параметр лишь частичный эквивалент для параметра --exclude,
указываемого клиентами.
Только один параметр "exclude" может быть указан в модуле, но Вы
можете использовать "-" и "+" перед шаблонами для точного указания
исключающего или включающего действия шаблона.
Т.к. этот список исключений не посылается клиентам, то он применяется
только на стороне сервера, т.е. он исключает файлы, получаемые
клиентом от сервера, и исключает файлы, удаляемые на сервере при
передаче на него, но этот параметр не исключает файлы, посылаемые от
клиента серверу, и не исключает файлы, удаляемые на клиенте при
передаче их от сервера.
Обратите внимание, что этот параметр не был разработан в целях строгой
безопасности.
Вполне возможно, что клиент найдет способ обойти список исключений.
Если Вы хотите быть абсолютно уверенным, что определенные файлы должны быть
недоступны, то используйте параметры "uid"/"gid" в комбинации с
установкой прав доступа к файлам.
exclude from
Параметр "exclude from" указывает имя файла на стороне сервера,
который содержит шаблоны исключения, по одному на строчку.
Этот параметр лишь частичный эквивалент для параметра --exclude-from,
указываемого клиентами вместе с соответствующим именем
файла-эквивалента.
См. параметр "exclude" выше.
include
Параметр "include" позволяет Вам указать разделенный пробелами список
шаблонов, которые rsync не должен исключать.
Этот параметр лишь частичный эквивалент для параметра --include,
указываемого клиентами, потому что он применяется только на стороне
сервера.
Он полезен как возможность построить довольно сложные правила
включения/исключения.
Только один параметр "include" может быть указан в модуле, но Вы
можете использовать "+" и "-" перед шаблонами для переключения между
включающим или исключающим действиями шаблонов.
См. выше параметр "exclude".
include from
Параметр "include from" указывает имя файла на стороне сервера,
который содержит шаблоны включения, по одному на строчку.
Этот параметр лишь частичный эквивалент для параметра --include-from,
указываемого клиентами вместе с соответствующим именем
файла-эквивалента.
См. выше параметр "exclude".
auth users
Параметр "auth users" указывает разделенный запятыми и пробелами
список имен пользователей, которым разрешено подключаться к этому
модулю.
Эти пользователи совсем не обязательно должны быть локальными.
Имена также могут содержать символы подстановки для оболочки.
Если параметр "auth users" установлен, то клиент будет запрошен на
предмет предоставления имени пользователя и пароля при подключении к
этому модулю.
При этом используется протокол аутентификации по "опознаваемому
отклику" ("a challenge response").
Обычный текстовый файл, где хранятся имена пользователей и их пароли,
указывается параметром "secrets file".
По умолчанию все пользователи могут подключаться без пароля (так
называемый, "анонимный rsync").
См. также раздел ПОДКЛЮЧЕНИЕ К RSYNC-СЕРВЕРУ ЧЕРЕЗ УДАЛЕННУЮ
ОБОЛОЧКУ в rsync(1) для получения информации о том, как
справляться в ситуации отличия пользователя, указанного в
rsyncd.conf, от пользователя, получающего удаленную оболочку, при
соответствующем подключении к rsync-серверу через программу удаленной
оболочки.
secrets file
Параметр "secrets file" указывает имя файла, который содержит пары
вида username:password и используемый для аутентификации подключений
к этому модулю.
Этот файл играет роль только при указании параметра "auth users".
Файл по-строковый и содержит пары имя пользователя и пароль,
разделенные двоеточием.
Любые строки, начинающиеся с хэша (#), рассматриваются как комментарии
и пропускаются.
Пароли могут состоять из любых символов, но будьте внимательны, потому
что многие операционные системы ограничивают длину паролей, которые
могут вводиться на клиентской стороне, так что Вы можете найти
ситуацию, когда пароли больше 8 символов не работают.
Нет никаких значений по умолчанию для параметра "secrets file", Вы
должны явно выбрать имя (например, такое
/etc/rsyncd.secrets).
Обычно этот файл не должен быть читаемым для всех ("other");
см. параметр "strict modes".
strict modes
Параметр "strict modes" определяет будут ли проверяться права доступа
к файлу паролей ("secrets file").
Если "strict modes" установлен в true, то файл паролей не должен
читаться любым пользователем с id, отличным от того, из-под которого
запущен rsync-демон.
Если он установлен в false, то такая проверка не производится.
По умолчанию значение true.
Этот параметр введен для того, чтобы приспособить запуск rsync на
платформе Windows.
hosts allow
Параметр "hosts allow" позволяет Вам указать список шаблонов, на
соответствие которым проверяются доменные имена и адреса IP
клиентов.
Если ни один из шаблонов не совпал, то соединение отвергается.
Каждый шаблон может быть в одной из пяти форм:
o
Разделенный точками десятичный адрес IPv4 в виде a.b.c.d или
адрес IPv6 в виде a:b:c::d:e:f.
В этом случае адрес IP подключающейся машины клиента должен точно
соответствовать шаблону.
o
Адрес/маска в виде ipaddr/n , где ipaddr - это адрес IP, а n - это
количество установленных в единицу битов маски сети.
Все адреса IP, которые соответствуют указанной таким образом сети,
могут подключаться к модулю.
o
Адрес/маска в виде ipaddr/maskaddr, где ipaddr - это адрес IP, а
maskaddr - это сетевая маска в разделенной точками десятичной форме
написания для IPv4 или в соответствующей форме для IPv6, например,
ffff:ffff:ffff:ffff:: вместо /64.
Все адреса IP, которые соответствуют указанной таким образом сети,
могут подключаться к модулю.
o
Доменное имя.
Это имя определяется поиском в обратной зоне и проверяется на
соответствие шаблону без учета регистра.
Подключение разрешено только для точных соответствий шаблону.
o
Шаблон доменного имени с использованием символов подстановки.
Проверка соответствия осуществляется по тем же правилам, которые
действуют при обычной для unix подстановке имен файлов.
Если шаблон соответствует, то подключение разрешено.
Note IPv6 link-local addresses can have a scope in the address
specification:
Заметьте, что локальные адреса IPv6 могут содержать указание на
область в спецификации адреса:
fe80::1%link1
fe80::%link1/64
fe80::%link1/ffff:ffff:ffff:ffff::
Вы также можете комбинировать параметр "hosts allow" с отдельно
указанным параметром "hosts deny".
Если оба параметра указаны, то "hosts allow" проверяется первым, а
соответствие по нему влечет за собой разрешение соединения для
клиента.
Затем проверяется параметр "hosts deny", а соответствие по нему
означает, что подключающийся хост будет отвергнут.
Если не совпал ни один шаблон ни в "hosts allow", ни в "hosts deny",
то при таких условиях соединение разрешается.
По умолчанию параметр "hosts allow" не определен, что означает, что
любым хостам разрешено подключаться.
hosts deny
Параметр "hosts deny" позволяет Вам указать список шаблонов, на
соответствие которым будут проверяться доменные имена хостов клиентов
и их адреса IP.
Если обнаружен подходящий шаблон, то соединение с клиентом
отвергается.
См. параметр "hosts allow" на предмет больших деталей.
По умолчанию параметр "hosts deny" не определен, что означает, что
любым хостам разрешено подключаться.
ignore errors
Параметр "ignore errors" указывает rsync-демону игнорировать ошибки
ввода/вывода на стороне сервера, когда принимается решение о
выполнении фазы удаления при передачах.
Обычно rsync пропускает действия, подразумеваемые параметром --delete,
если произошли какие-либо ошибки ввода/вывода, что обусловлено
необходимостью предохраниться от неконтролируемого удаления из-за
временной недоступности ресурсов или других ошибок ввода/вывода.
В некоторых случаях это непродуктивно, так что Вы можете отключить
такое поведение с помощью этого параметра.
ignore nonreadable
Указывает rsync-серверу полностью игнорировать файлы, которые
недоступны на чтение пользователю.
Это полезно для общедоступных архивов, в структуре каталогов которых
могут встречаться несколько не читаемых файлов, а системный
администратор хочет полностью исключить даже возможность их видеть.
Этот параметр включен по умолчанию.
transfer logging
Параметр "transfer logging" включает журналирование скачиваний и
загрузок на по-файловой основе в формате, подобном тому, который
используется ftp-демонами.
Если Вам нужно настроить этот формат, то посмотрите параметр "log
format".
Этот параметр включен по умолчанию.
log format
Параметр "log format" позволяет указать формат используемого для
журналирования передач файла, когда это журналирование включено.
Формат - это текстовая строка, содержащая встроенные символьные
escape-последовательности, обозначенные символом процента (%).
Распознаваемые префиксы:
o
%h для имени удаленной машины
o
%a для удаленного адреса IP
o
%l для размера файла в байтах
o
%p для id процесса rsync-сессии
o
%o для операций, которыми могут быть либо "send", либо "recv"
o
%f для имени файла
o
%P для удаленного пути модуля
o
%m для имени модуля
o
%t для текущих времени и даты
o
%u для аутентифицированного имени пользователя (или пустая строка)
o
%b для количества фактически переданных/принятых байт
o
%c при передачах файлов подставляет количество байт контрольной суммы,
полученной для конкретного файла
По умолчанию файл журнала имеет формат "%o %h [%a] %m (%u) %f %l", и
"%t [%p] " всегда добавляется к его началу, когда используется
параметр "log file".
Скрипт на перле rsyncstats для сбора суммарной статистики из файла с
таким форматом прилагается к распространяемому исходному коду rsync.
timeout
The "timeout" option allows you to override the
clients choice for IO timeout for this module. Using this option you
can ensure that rsync won't wait on a dead client forever. The timeout
is specified in seconds. A value of zero means no timeout and is the
default. A good choice for anonymous rsync servers may be 600 (giving
a 10 minute timeout).
Default value is 60 (one minute).
Параметр "timeout" позволяет Вам переопределять клиентский выбор для
значения времени ожидания операций ввода-вывода для данного модуля.
Использование этого параметра позволяет быть Вам уверенным, что rsync
в любом случае не будет постоянно находиться в ожидании реакций от
зависших клиентов.
Время ожидания указывается в секундах.
Значение ноль означает отсутствие установки времени ожидания и
является значением по умолчанию.
Хорошим выбором для анонимных rsync-серверов может быть значение в 600
секунд (10 минут).
refuse options
Параметр "refuse options" позволяет Вам указать разделенный пробелами
список параметров командной строки rsync, которые будут отвергаться
Вашим rsync-сервером.
При этом должны использоваться полные имена параметров (т.е. Вы
должны использовать "checksum", а не "c" для отключения вычисления
контрольных сумм).
Если параметр должен быть отвергнут, то сервер выдает сообщение об
ошибке и завершается.
Чтобы только отключить совсем сжатие данных при передаче, Вы можете
использовать "dont compress = *" (см. ниже) вместо "refuse options =
compress", чтобы избежать возврата ошибки клиентам, запрашивающим
сжатие.
dont compress
Параметр "dont compress" позволяет Вам выбрать по шаблону имена
файлов, которые не должны сжиматься при передаче.
Сжатие обходится дорого относительно использования ресурсов
процессора, так что обычно хорошей практикой считается не пытаться
сжимать файлы, которые плохо сжимаются, такие как уже сжатые файлы.
Параметр "dont compress" принимает как аргумент разделенный пробелами
список шаблонов подстановки, где регистр букв не имеет значения.
Любой исходный файл, соответствующий одному из так указанных шаблонов,
при передаче не будет сжиматься.
Протокол аутентификации, используемый в rsync, - это 128-битная
основанная на MD4 система "опознаваемых откликов" ("challenge response
system").
Хотя я думаю, что никто еще не продемонстрировал прямой взлом подбором
("a brute-force break") такой системы, Вы должны представлять
себе, что эта система не обладает "военной надежностью" ("military
strength").
Она достаточно хороша для большинства задач, но если Вы действительно
хотите безопасности высокого уровня, то я рекомендую запускать rsync
поверх ssh.
Также обратите внимание на то, что протокол rsync-сервера в настоящее
время не поддерживает какое-либо шифрование передаваемых данных.
Предоставляются только функции аутентификации.
Используйте ssh в качестве транспорта, если Вам нужно шифрование.
Будущие версии rsync, может быть, будут поддерживать SSL для лучших
реализаций аутентификации и шифрования, но это все еще находится в
стадии изучения.
ЗАПУСК RSYNC-СЕРВЕРА ПОВЕРХ ПРОГРАММЫ УДАЛЕННОЙ ОБОЛОЧКИ
Если rsync запущен с параметрами --daemon и --rsh (-e), то он
порождает rsync-демон, использующий соединения поверх удаленной
оболочки.
Некоторые конфигурационные параметры не доступны при запуске от
пользователя, отличном от root (например, chroot, setuid/setgid и
т.д.).
При таком способе запуска нет необходимости конфигурировать inetd или
включать порт rsync-сервера в список доступных сетевых служб.
СОВЕТ: Для запуска rsync-сервера с помощью специально выделенного
для этого ssh-ключа, используйте возможность указать
"command=COMMAND" в записях authorized_keys удаленного
пользователя (см. формат authorized_keys sshd (1)), где команду
можно указать как
rsync --server --daemon .
ЗАМЕТЬТЕ: встроенная в rsync обработка параметров командной строки
ожидает завершающей точки ".", так что убедитесь в ее наличии.
Если вам нужно использовать конфигурационный файл rsyncd.conf,
отличный от файла по умолчанию, то вы можете добавить параметр
--config к вызову команды command:
rsync --server --daemon --config=file .
Обратите внимание, что параметр "--server" - это внутренний параметр,
который rsync использует для запуска удаленной версии rsync, с которой
он и соединяется, и, таким образом, Вы не должны использовать параметр
--server при других условиях.
ПРИМЕРЫ
Простой пример файла rsyncd.conf, который позволяет организовать
анонимный доступ rsync-клиентам к ftp-области в /home/ftp,
выглядит так:
[ftp]
path = /home/ftp
comment = ftp export area
Более сложный пример:
uid = nobody
gid = nobody
use chroot = no
max connections = 4
syslog facility = local5
pid file = /var/run/rsyncd.pid
rsync-сервер не посылает все типы сообщений об ошибках клиентам.
Это означает, что клиент может быть введен в заблуждение о причине
ошибочного завершения передачи.
Ошибка журналируется через syslog на сервере.
Пожалуйста, сообщайте об ошибках! Система сопровождения ошибок для
rsync находится на http://rsync.samba.org/ .
ВЕРСИЯ
Это руководство написано для версий 2.x rsync.
CREDITS
rsync распространяется под GNU public license (GPL).
См. файл COPYING за деталями.
Нам хотелось бы услышать от Вас, если вам понравилась эта программа.
Эта программа использует библиотеку сжатия zlib, написанную Jean-loup
Gailly and Mark Adler.
БЛАГОДАРНОСТИ
Мы признательны Warren Stanley за его оригинальную идею и патчи для
rsync-сервера.
Благодарим также Karsten Thygesen за многие его советы и документацию.
