双机热备需主备切换与数据一致性保障，单纯rsync定时同步仅为冷备；必须结合inotifywait监控与keepalived故障转移，且推荐拉复制方式并严格控制权限、路径斜杠、inotify限制及SELinux策略。
双机热备不是“开个定时任务+rsync就完事”，它本质是主备角色切换+数据一致性保障的组合问题。单纯用 rsync 做定时拉取，只能算冷备或准实时同步；真要接近“热备”效果，必须搭配触发机制（如 inotifywait）和故障转移逻辑（如 keepalived），否则主机挂了，备机根本不知道该不该接管、数据是否最新。
rsync 拉复制 vs 推复制：选错方向，权限和路径全崩
拉复制（备机主动从主机拉数据）更安全、更可控，是生产首选；推复制（主机把数据推给备机）看似简单，但会暴露主机 SSH 密钥和写入权限，一旦主机被入侵，备机目录可能被清空或篡改。
- 拉复制命令典型结构：
rsync -avz --delete --password-file=/etc/rsync.pw user@192.168.10.10::module /backup，注意末尾::module是 rsyncd 服务端定义的模块名，不是路径 - 推复制若非不得已要用，务必限制目标用户权限：在备机上创建专用用户（如
rsync-backup），仅赋予目标目录的写权限，禁用 shell：usermod -s /usr/sbin/nologin rsync-backup - 路径结尾斜杠影响极大：
/data/表示同步目录内容，/data表示同步整个目录——漏掉斜杠会导致多嵌一层/data/data/
inotifywait 监控失效？先查这三件事
inotifywait 不是“一跑就永驻”，它只监听一次事件后退出。实际必须用 while 循环包裹，且要处理子进程意外退出、事件队列溢出、权限不足等常见断连原因。
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
- 基础循环模板必须带
--monitor或用while true; do inotifywait ...; done，否则改一个文件就停了 - 内核 inotify 限制默认极低（
/proc/sys/fs/inotify/max_user_watches通常为 8192），同步大量小文件（如日志、前端构建产物）时必超限，报错No space left on device，需调高：echo 524288 > /proc/sys/fs/inotify/max_user_watches - 脚本里调用
rsync时，别直接写rsync -avz ...，要加超时和重试：timeout 300 rsync -avz --delete --contimeout=10 --timeout=30 ... || echo "rsync failed at $(date)" >> /var/log/inotify-sync.log
麒麟 V10 SP1 等国产系统上最常踩的坑
麒麟、统信等国产系统默认开启 SELinux 或其等效策略（如 auditd + policycoreutils），且防火墙规则更严格，很多教程里“关掉 SELinux”的做法在政企环境根本不被允许。
- 不要执行
setenforce 0或修改/etc/selinux/config，而是用audit2why和audit2allow生成最小权限策略，例如允许rsync访问网络和特定目录 - 防火墙不是只开 873 端口就行：rsync over SSH 走的是 22 端口，而 rsyncd 守护进程才用 873；若用 SSH 方式，要确认
sshd_config中AllowTcpForwarding yes未被禁用 - 密码文件权限必须是
600，且属主必须是运行脚本的用户；麒麟系统对/etc/rsyncd.secrets的读取校验更严，如果用非 root 用户跑 inotify 脚本，得把 secrets 文件属组设为该用户组并加g+r
真正难的不是写通一条 rsync 命令，而是让监控不丢事件、同步不卡住、失败可追溯、重启能自愈——这些细节藏在日志轮转策略、systemd 服务 RestartSec 设置、inotifywait 的 --excludei 过滤临时文件、以及 rsync 的 --filter 规则里。少做一步，半夜告警就是常态。
