## 1. 配置安全
– 设置强密码：使用复杂的密码，包含字母、数字和特殊字符
– 限制访问IP：使用bind参数绑定到特定IP
– 关闭危险命令：使用rename-command或disable-command禁用危险命令
– 启用ACL：使用Redis 6.0+的ACL功能，进行细粒度的权限控制
– 配置文件权限：设置配置文件的权限为600，避免被其他用户读取

## 2. 网络安全
– 使用防火墙：配置防火墙，只允许特定IP访问Redis端口
– 使用TLS：启用TLS加密，保护数据在传输过程中的安全
– 避免公网暴露：将Redis部署在内部网络中，避免直接暴露在公网
– 使用VPN：通过VPN访问Redis，增加安全性

## 3. 数据安全
– 加密存储：对敏感数据进行加密存储
– 定期备份：定期备份数据，以便在安全事件发生后恢复数据
– 数据脱敏：对敏感数据进行脱敏处理，避免明文存储
– 过期时间：对敏感数据设置合理的过期时间

## 4. 监控与审计
– 监控访问：监控Redis的访问情况，及时发现异常访问
– 审计日志：开启Redis的审计日志，记录所有操作
– 安全扫描：定期进行安全扫描，发现和修复安全漏洞
– 漏洞修复：及时修复Redis的安全漏洞

## 5. 运维安全
– 定期更新：定期更新Redis版本，修复安全漏洞
– 最小权限：以普通用户身份运行Redis，避免使用root用户
– 隔离环境：将Redis部署在隔离的环境中，避免与其他服务共享资源
– 安全培训：对运维人员进行安全培训，提高安全意识

## 1. 认证工具
– Redis内置认证：使用Redis的requirepass参数设置密码
– Redis ACL：使用Redis 6.0+的ACL功能，进行细粒度的权限控制
– 外部认证：使用外部认证系统，如LDAP、OAuth等

## 2. 加密工具
– TLS/SSL：使用TLS/SSL加密传输数据
– 数据加密：使用加密库对敏感数据进行加密存储
– 密钥管理：使用密钥管理工具，管理加密密钥

## 3. 监控工具
– Redis Exporter：用于监控Redis的运行状态
– Prometheus：用于收集和存储监控数据
– Grafana：用于可视化监控数据
– 安全监控工具：如Wazuh、OSSEC等，用于监控安全事件

## 4. 审计工具
– Redis审计日志：开启Redis的审计日志，记录所有操作
– 第三方审计工具：如ELK Stack、Splunk等，用于分析审计日志
– 合规性工具：如CIS-CAT、OpenSCAP等，用于检查合规性

## 5. 安全扫描工具
– Nmap：用于扫描Redis的开放端口和服务
– Redis-Cli：使用Redis-Cli进行安全测试
– 第三方安全扫描工具：如Nessus、Qualys等，用于扫描安全漏洞

学习交流加群风哥QQ113257174

Part03-生产环境项目实施方案

3.1 访问控制

## 1. 设置密码
# 编辑Redis配置文件
$ vi /redis/app/redis.conf

# 设置密码
requirepass fgedu@2026

# 重启Redis服务
$ systemctl restart redis

# 验证密码
$ /redis/app/bin/redis-cli -h 192.168.1.100 -p 6379 -a fgedu@2026 ping

# 输出示例
PONG

## 2. 限制访问IP
# 编辑Redis配置文件
$ vi /redis/app/redis.conf

# 限制访问IP
bind 127.0.0.1 192.168.1.100

# 重启Redis服务
$ systemctl restart redis

# 验证访问
$ /redis/app/bin/redis-cli -h 192.168.1.100 -p 6379 -a fgedu@2026 ping

# 输出示例
PONG

## 3. 禁用危险命令
# 编辑Redis配置文件
$ vi /redis/app/redis.conf

# 禁用危险命令
rename-command FLUSHALL “”
rename-command FLUSHDB “”
rename-command DEL “”
rename-command CONFIG “”

# 重启Redis服务
$ systemctl restart redis

# 验证命令是否被禁用
$ /redis/app/bin/redis-cli -h 192.168.1.100 -p 6379 -a fgedu@2026 FLUSHALL

# 输出示例
(error) ERR unknown command ‘FLUSHALL’

## 4. 启用ACL
# 编辑Redis配置文件
$ vi /redis/app/redis.conf

# 启用ACL
aclfile /redis/app/users.acl

# 创建ACL文件
$ vi /redis/app/users.acl

# 用户配置
user default on # 禁用默认用户
user admin on >fgedu@2026 ~* +@all # 管理员用户，具有所有权限
user app on >app@2026 ~app:* +@read +@write # 应用用户，只能访问app:前缀的键
user readonly on >readonly@2026 ~* +@read # 只读用户，只能读取数据

# 重启Redis服务
$ systemctl restart redis

# 验证ACL
$ /redis/app/bin/redis-cli -h 192.168.1.100 -p 6379 -u admin -a fgedu@2026 ping

# 输出示例
PONG

$ /redis/app/bin/redis-cli -h 192.168.1.100 -p 6379 -u app -a app@2026 set app:key value

# 输出示例
OK

$ /redis/app/bin/redis-cli -h 192.168.1.100 -p 6379 -u app -a app@2026 set other:key value

# 输出示例
(error) NOPERM this user has no permissions to access one of the keys used as arguments

$ /redis/app/bin/redis-cli -h 192.168.1.100 -p 6379 -u readonly -a readonly@2026 set key value

# 输出示例
(error) NOPERM this user has no permissions to run the ‘set’ command or its subcommand

## 1. 启用TLS
# 生成证书
$ openssl genrsa -out redis.key 2048
$ openssl req -new -key redis.key -out redis.csr
$ openssl x509 -req -in redis.csr -signkey redis.key -out redis.crt

# 编辑Redis配置文件
$ vi /redis/app/redis.conf

# 启用TLS
tls-port 6379
tls-cert-file /redis/app/redis.crt
tls-key-file /redis/app/redis.key
tls-ca-cert-file /redis/app/redis.crt

# 重启Redis服务
$ systemctl restart redis

# 验证TLS
$ /redis/app/bin/redis-cli -h 192.168.1.100 -p 6379 -a fgedu@2026 –tls ping

# 输出示例
PONG

## 2. 数据加密存储
# 使用加密库对敏感数据进行加密存储
import hashlib
import base64
from cryptography.fernet import Fernet

# 生成密钥
key = Fernet.generate_key()
cipher_suite = Fernet(key)

# 加密数据
data = “敏感数据”
cipher_text = cipher_suite.encrypt(data.encode())

# 存储加密数据
redis_client.set(“encrypted:data”, base64.b64encode(cipher_text).decode())

# 解密数据
encrypted_data = base64.b64decode(redis_client.get(“encrypted:data”))
plain_text = cipher_suite.decrypt(encrypted_data).decode()
print(plain_text)

## 3. 密码加密
# 使用哈希函数对密码进行加密存储
import hashlib

def hash_password(password):
return hashlib.sha256(password.encode()).hexdigest()

# 存储加密后的密码
password = “fgedu@2026”
hashed_password = hash_password(password)
redis_client.set(“user:1001:password”, hashed_password)

# 验证密码
def verify_password(password, hashed_password):
return hash_password(password) == hashed_password

stored_password = redis_client.get(“user:1001:password”).decode()
print(verify_password(“fgedu@2026”, stored_password))
print(verify_password(“wrongpassword”, stored_password))

## 1. 配置防火墙
# 配置防火墙，只允许特定IP访问Redis端口
$ firewall-cmd –zone=public –add-port=6379/tcp –permanent
$ firewall-cmd –zone=public –add-source=192.168.1.0/24 –permanent
$ firewall-cmd –reload

# 验证防火墙配置
$ firewall-cmd –list-all

# 输出示例
public (active)
target: default
icmp-block-inversion: no
interfaces: eth0
sources: 192.168.1.0/24
services: ssh dhcpv6-client
ports: 6379/tcp
protocols:
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:

## 2. 使用VPN
# 配置VPN，通过VPN访问Redis
# 安装OpenVPN
$ yum install -y openvpn easy-rsa

# 配置OpenVPN服务器
$ cp -r /usr/share/easy-rsa /etc/openvpn/
$ cd /etc/openvpn/easy-rsa
$ ./easyrsa init-pki
$ ./easyrsa build-ca
$ ./easyrsa gen-req server nopass
$ ./easyrsa sign-req server server
$ ./easyrsa gen-dh

# 创建OpenVPN配置文件
$ vi /etc/openvpn/server.conf

port 1194
proto udp
dev tun
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push “route 192.168.1.0 255.255.255.0”
keepalive 10 120
cipher AES-256-CBC
user nobody
group nobody
persist-key
persist-tun
status openvpn-status.log
verb 3

# 启动OpenVPN服务
$ systemctl start openvpn@server
$ systemctl enable openvpn@server

# 配置客户端
$ cd /etc/openvpn/easy-rsa
$ ./easyrsa gen-req client1 nopass
$ ./easyrsa sign-req client client1

# 创建客户端配置文件
$ vi /etc/openvpn/client1.ovpn

client
dev tun
proto udp
remote server_ip 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client1.crt
key client1.key
cipher AES-256-CBC
verb 3

# 客户端连接VPN后访问Redis
$ /redis/app/bin/redis-cli -h 192.168.1.100 -p 6379 -a fgedu@2026 ping

# 输出示例
PONG

## 3. 网络隔离
# 将Redis部署在内部网络中，避免直接暴露在公网
# 配置网络隔离，使用VLAN或防火墙隔离Redis网络
# 只允许应用服务器访问Redis，其他服务器无法访问

风哥提示：Redis接口限流是保护系统的重要机制，合理的限流策略可以防止系统过载，确保系统的稳定性和可用性。在实际应用中，需要根据具体业务场景和数据特点，选择合适的限流算法和策略。

Part04-生产案例与实战讲解

4.1 安全加固实战

## 1. 场景描述
– 生产环境中的Redis实例需要进行安全加固
– 防止未授权访问、数据泄露等安全问题
– 确保Redis服务的安全运行

## 2. 解决方案
– 配置密码认证
– 限制访问IP
– 禁用危险命令
– 启用ACL
– 配置防火墙
– 启用TLS加密

## 3. 实战操作
# 配置密码认证
$ vi /redis/app/redis.conf
requirepass fgedu@2026

# 限制访问IP
$ vi /redis/app/redis.conf
bind 127.0.0.1 192.168.1.100

# 禁用危险命令
$ vi /redis/app/redis.conf
rename-command FLUSHALL “”
rename-command FLUSHDB “”
rename-command DEL “”
rename-command CONFIG “”

# 启用ACL
$ vi /redis/app/redis.conf
aclfile /redis/app/users.acl

$ vi /redis/app/users.acl
user default on
user admin on >fgedu@2026 ~* +@all
user app on >app@2026 ~app:* +@read +@write
user readonly on >readonly@2026 ~* +@read

# 配置防火墙
$ firewall-cmd –zone=public –add-port=6379/tcp –permanent
$ firewall-cmd –zone=public –add-source=192.168.1.0/24 –permanent
$ firewall-cmd –reload

# 启用TLS
$ openssl genrsa -out /redis/app/redis.key 2048
$ openssl req -new -key /redis/app/redis.key -out /redis/app/redis.csr -subj “/CN=redis-server”
$ openssl x509 -req -in /redis/app/redis.csr -signkey /redis/app/redis.key -out /redis/app/redis.crt

$ vi /redis/app/redis.conf
tls-port 6379
tls-cert-file /redis/app/redis.crt
tls-key-file /redis/app/redis.key
tls-ca-cert-file /redis/app/redis.crt

# 重启Redis服务
$ systemctl restart redis

# 验证安全配置
$ /redis/app/bin/redis-cli -h 192.168.1.100 -p 6379 –tls -u admin -a fgedu@2026 ping

# 输出示例
PONG

$ /redis/app/bin/redis-cli -h 192.168.1.100 -p 6379 –tls -u app -a app@2026 set app:key value

# 输出示例
OK

$ /redis/app/bin/redis-cli -h 192.168.1.100 -p 6379 –tls -u app -a app@2026 set other:key value

# 输出示例
(error) NOPERM this user has no permissions to access one of the keys used as arguments

$ /redis/app/bin/redis-cli -h 192.168.1.100 -p 6379 –tls -u admin -a fgedu@2026 FLUSHALL

# 输出示例
(error) ERR unknown command ‘FLUSHALL’

## 1. 场景描述
– 生产环境中的Redis实例面临各种攻击威胁
– 需要采取措施防止DDoS攻击、注入攻击等
– 确保Redis服务的稳定运行

## 2. 解决方案
– 配置防火墙，限制访问IP
– 启用密码认证，防止未授权访问
– 配置连接限制，防止连接数过多
– 监控异常访问，及时发现攻击
– 配置超时设置，防止连接占用

## 3. 实战操作
# 配置防火墙，限制访问IP
$ firewall-cmd –zone=public –add-port=6379/tcp –permanent
$ firewall-cmd –zone=public –add-source=192.168.1.0/24 –permanent
$ firewall-cmd –reload

# 启用密码认证
$ vi /redis/app/redis.conf
requirepass fgedu@2026

# 配置连接限制
$ vi /redis/app/redis.conf
maxclients 10000

# 配置超时设置
$ vi /redis/app/redis.conf
timeout 300

# 配置监控
$ vi /etc/systemd/system/redis_exporter.service

[Unit]
Description=Redis Exporter
After=network.target

[Service]
Type=simple
User=redis
ExecStart=/usr/local/bin/redis_exporter –redis.addr=redis://192.168.1.100:6379 –redis.password=fgedu@2026
Restart=always

[Install]
WantedBy=multi-user.target

$ systemctl daemon-reload
$ systemctl start redis_exporter
$ systemctl enable redis_exporter

# 配置Prometheus告警规则
$ vi /usr/local/prometheus/redis_rules.yml

groups:
– name: redis_alerts
rules:
– alert: RedisConnectionsHigh
expr: redis_connected_clients > 8000
for: 5m
labels:
severity: warning
annotations:
summary: “Redis connections high”
description: “Redis instance {{ $labels.instance }} has {{ $value }} connections”

– alert: RedisCommandRateHigh
expr: rate(redis_commands_processed_total[5m]) > 10000
for: 5m
labels:
severity: warning
annotations:
summary: “Redis command rate high”
description: “Redis instance {{ $labels.instance }} command rate is {{ $value }} commands per second”

# 测试攻击防护
# 模拟大量连接
$ for i in {1..1000}; do redis-cli -h 192.168.1.100 -p 6379 -a fgedu@2026 ping & done

# 查看连接数
$ /redis/app/bin/redis-cli -h 192.168.1.100 -p 6379 -a fgedu@2026 info clients | grep connected_clients

# 输出示例
connected_clients:1000

# 模拟命令注入
$ /redis/app/bin/redis-cli -h 192.168.1.100 -p 6379 -a fgedu@2026 “CONFIG SET dir /tmp”

# 输出示例
(error) ERR unknown command ‘CONFIG’

# 查看监控告警
# 访问Prometheus Web界面：http://localhost:9090/alerts

## 1. 场景描述
– 生产环境中的Redis实例需要进行安全审计
– 记录和监控Redis的操作，以便及时发现和处理安全问题
– 确保Redis服务的安全运行

## 2. 解决方案
– 开启Redis的审计日志
– 使用ELK Stack分析审计日志
– 定期进行安全扫描
– 检查Redis的安全配置

## 3. 实战操作
# 开启Redis的审计日志
$ vi /redis/app/redis.conf

# 开启审计日志
auditlog /redis/app/log/redis-audit.log

# 重启Redis服务
$ systemctl restart redis

# 查看审计日志
$ tail -f /redis/app/log/redis-audit.log

# 输出示例
2024-08-01T12:00:00.000Z [audit] 192.168.1.100:12345 “admin” “PING”
2024-08-01T12:00:01.000Z [audit] 192.168.1.100:12346 “app” “SET” “app:key” “value”
2024-08-01T12:00:02.000Z [audit] 192.168.1.100:12347 “readonly” “GET” “app:key”

# 配置ELK Stack分析审计日志
# 安装ELK Stack
$ yum install -y java-11-openjdk
$ wget https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-8.0.0-x86_64.rpm
$ rpm -ivh elasticsearch-8.0.0-x86_64.rpm
$ wget https://artifacts.elastic.co/downloads/logstash/logstash-8.0.0-x86_64.rpm
$ rpm -ivh logstash-8.0.0-x86_64.rpm
$ wget https://artifacts.elastic.co/downloads/kibana/kibana-8.0.0-x86_64.rpm
$ rpm -ivh kibana-8.0.0-x86_64.rpm

# 配置Logstash
$ vi /etc/logstash/conf.d/redis-audit.conf

input {
file {
path => “/redis/app/log/redis-audit.log”
start_position => “beginning”
sincedb_path => “/dev/null”
}
}

filter {
grok {
match => {
“message” => “%{TIMESTAMP_ISO8601:timestamp} \[audit\] %{IP:client_ip}:%{NUMBER:client_port} \”%{USER:user}\” \”%{WORD:command}\”( \”%{DATA:key}\”( \”%{DATA:value}\”))?”
}
}
date {
match => [“timestamp”, “yyyy-MM-dd’T’HH:mm:ss.SSS’Z'”]
target => “@timestamp”
}
}

output {
elasticsearch {
hosts => [“localhost:9200”]
index => “redis-audit-%{+YYYY.MM.dd}”
}
}

# 启动ELK Stack
$ systemctl start elasticsearch
$ systemctl start logstash
$ systemctl start kibana

# 访问Kibana Web界面：http://localhost:5601
# 创建索引模式：redis-audit-*
# 查看审计日志

# 定期进行安全扫描
# 安装Nmap
$ yum install -y nmap

# 扫描Redis端口
$ nmap -p 6379 192.168.1.100

# 输出示例
Starting Nmap 7.92 ( https://nmap.org ) at 2024-08-01 12:00 CST
Nmap scan report for 192.168.1.100
Host is up (0.00010s latency).

PORT STATE SERVICE
6379/tcp closed redis

# 检查Redis的安全配置
# 使用Redis安全检查工具
$ wget https://github.com/victorsela/redis-security-scanner/raw/master/redis-security-scanner.py
$ python3 redis-security-scanner.py -h 192.168.1.100 -p 6379 -a fgedu@2026

# 输出示例
Redis Security Scanner
=====================

Target: 192.168.1.100:6379

[+] Authentication: Enabled
[+] Bind address: 127.0.0.1 192.168.1.100
[+] Dangerous commands: Disabled
[+] TLS: Enabled
[+] Max memory: Set
[+] Max clients: Set

[+] Security score: 95/100

更多学习教程公众号风哥教程itpux_com

Part05-风哥经验总结与分享

5.1 最佳实践

Redis安全加固与防护实战最佳实践：

• 配置强密码：使用复杂的密码，包含字母、数字和特殊字符，学习交流加群风哥微信: itpux-com
• 限制访问IP：使用bind参数绑定到特定IP，避免外部访问
• 禁用危险命令：禁用FLUSHALL、FLUSHDB等危险命令
• 启用ACL：使用Redis 6.0+的ACL功能，进行细粒度的权限控制
• 配置防火墙：使用防火墙限制访问Redis端口
• 启用TLS：使用TLS加密传输数据，保护数据安全
• 监控与告警：监控Redis的访问和操作，及时发现安全问题
• 定期安全审计：定期进行安全审计，发现和处理安全问题
• 定期更新：定期更新Redis版本，修复安全漏洞
• 备份与恢复：定期备份数据，以便在安全事件发生后恢复数据

5.2 常见问题