Redis 安装与安全配置：别让它裸奔在公网

前置条件

开始之前，先确认这些都具备

• 一台 Debian/Ubuntu 服务器与 sudo 权限
• 已配置防火墙

操作步骤

共 6 步

1. 步骤 01 / 06

   安装 #

   官方仓库的版本对绝大多数缓存场景够用。装完先确认服务在跑，并且监听的是回环地址。

   sudo apt update && sudo apt install -y redis-server
   
   systemctl status redis-server --no-pager
   sudo ss -tlnp | grep 6379    # 期望 127.0.0.1:6379

2. 步骤 02 / 06

   设置密码与内存上限 #

   requirepass 必须设，即使只监听本地 —— 同一台机器上任何一个被攻破的应用都能连上无密码的 Redis。maxmemory 同样必须设：不设的话 Redis 会一直吃内存直到被 OOM Killer 结束，而那时它带走的往往还有你的数据库进程。

   # /etc/redis/redis.conf
   bind 127.0.0.1 -::1
   protected-mode yes
   requirepass 换成一个足够长的随机密码
   
   maxmemory 512mb
   maxmemory-policy allkeys-lru
   
   # 纯缓存用途可以关掉持久化以减少 IO；
   # 作为队列或有状态存储时保持 appendonly yes
   appendonly yes
   appendfsync everysec

3. 步骤 03 / 06

   重启并验证 #

   不要在命令行里用 -a 传密码 —— 它会进入 shell 历史，也会出现在其他用户可见的进程列表里。进入 redis-cli 之后再用 AUTH 命令。

   sudo systemctl restart redis-server
   
   redis-cli
   # 在交互界面里：
   #   AUTH 你的密码
   #   PING        -> PONG
   #   INFO memory
   #   CONFIG GET maxmemory

4. 步骤 04 / 06

   调整内核参数 #

   Redis 在做后台保存（bgsave）时会 fork 一份进程，内存不足时可能失败。vm.overcommit_memory = 1 是官方推荐值。另外内核的透明大页（THP）会导致延迟毛刺，建议关闭。

   echo 'vm.overcommit_memory = 1' | sudo tee /etc/sysctl.d/99-redis.conf
   sudo sysctl --system
   
   # 关闭透明大页（重启后失效，需要时可写成 systemd 单元固化）
   echo never | sudo tee /sys/kernel/mm/transparent_hugepage/enabled
   
   sudo journalctl -u redis-server -n 30 --no-pager

5. 步骤 05 / 06

   （可选）重命名危险命令 #

   在多人协作或应用权限不细的环境里，把 FLUSHALL、FLUSHDB、KEYS 这类命令改名或禁用，可以避免一次手滑清空整个缓存。KEYS 在大库上还会阻塞整个实例。

   # /etc/redis/redis.conf
   rename-command FLUSHALL ""
   rename-command FLUSHDB  ""
   rename-command KEYS     ""
   rename-command CONFIG   "CONFIG_9f2c1a"

6. 步骤 06 / 06

   需要远程访问时走 SSH 隧道 #

   本地图形客户端要连远端 Redis，用端口转发，而不是修改 bind 让它监听公网。命令在自己的电脑上执行。

   ssh -N -L 6379:127.0.0.1:6379 -p 22022 [email protected]
   # 之后客户端连 127.0.0.1:6379

相关教程

接下来通常会看这几篇