rsync もうすぐ解決

解決したらドキュメント化します。具体的には、バックアップ先に登録したバックアップ元の公開鍵のオプションに、rsync の内部コマンドを仕込むのがミソらしい。いいんかいな、こんなんで？
あと「ポートフォワーディングしかできない鍵」を作って（作れるのか？）、あとは適当なポートを指定して rsyncd を立てるという方法もあるね。こっちの方が内部仕様に依存してなくていいけど、反面、ファイアウォールに追加で穴を空ける必要があるのが難点。