1. Redis protected-mode 基础概念
在深入探讨如何配置 `protected-mode` 之前，我们需要了解其基本概念。`protected-mode` 是 Redis 的一项安全特性，默认情况下启用。
默认行为： 当 Redis 监听非本地地址（如 0.0.0.0）且未设置密码时，`protected-mode` 会拒绝外部客户端的连接。配置位置： 该选项位于 Redis 配置文件（`redis.conf`），默认值为 `yes`。禁用场景： 在受信任的网络环境中，可以通过将 `protected-mode no` 添加到配置文件中来禁用此模式。
然而，禁用 `protected-mode` 后必须采取额外的安全措施以防止未授权访问。
2. 配置步骤详解
为了确保 Redis 的安全性，以下是推荐的配置步骤：
绑定内网 IP： 确保 `bind` 参数仅监听内网 IP 地址。例如，在 `redis.conf` 中添加以下内容：
bind 192.168.1.10
这可以限制 Redis 仅接受来自特定内网 IP 的请求。
设置强密码： 使用 `requirepass` 参数为 Redis 设置一个强密码。例如：
requirepass StrongP@ssw0rd
这样可以确保即使外部用户能够连接到 Redis，也需要提供正确的密码才能执行操作。
配置防火墙规则： 通过防火墙进一步限制 Redis 的访问来源。例如，使用 iptables 限制仅允许特定 IP 地址访问：
iptables -A INPUT -p tcp --dport 6379 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 6379 -j DROP
这些规则确保只有来自 192.168.1.0/24 网段的流量可以访问 Redis。
3. 安全性分析与常见问题
尽管上述步骤可以显著提高 Redis 的安全性，但在实际部署中仍需注意以下问题：
问题原因解决方案未设置密码Redis 默认不强制要求密码认证始终为 Redis 设置强密码，并定期更新监听公网 IP`bind` 参数错误配置为 0.0.0.0仅绑定内网 IP 或结合防火墙规则防火墙未正确配置规则过于宽松或未生效检查并测试防火墙规则的有效性
此外，建议定期审计 Redis 配置和网络环境，以发现潜在的安全隐患。
4. 流程图：Redis 安全配置流程
以下是 Redis 安全配置的流程图，帮助理解各步骤之间的逻辑关系：
graph TD;
A[启动 Redis] --> B{是否需要监听外网？};
B --是--> C[禁用 protected-mode];
B --否--> D[保持默认 protected-mode];
C --> E[配置 bind 和 requirepass];
D --> E;
E --> F[配置防火墙规则];
F --> G[完成配置];
通过遵循这一流程，可以系统地解决 Redis 的安全配置问题。