Redis内网访问限制配置

关注

原创最新推荐文章于 2026-08-06 22:59:12 发布 521 阅读 AI 写同款· GEO 优化 ›

Redis密码设置与访问限制(网络安全) 原因就是redis简单高效。redis里的数据也越来越重要了，例如一些业务的中间数据会暂时存放在redis里，所以限制redis的访问还是很有必要。修改/etc/nologin.txt，没有的话就手动新建一个，在里面添加给被禁止用户的提示(这种方式的所有用户的锁定信息都在这个文件中，在登陆时给与提示)。2) 如果你再生产环境中，那么你一般会需要绑在网卡上，以便其他主机也能访问redis，那么我们会有一些其他的方式保证redis数据的安全。重启redis服务后，你的客户端都需要通过密码的方式访问redis。阅读详情

Redis内网访问限制配置指南

在Linux环境下部署Redis时，限制内网访问是保障数据库安全的关键措施。根据Redis的安全特性和网络架构，可通过绑定IP、防火墙配置、认证机制等多层防护实现内网访问控制。

一、核心配置方案对比

控制层级	实现方式	适用场景	安全强度	配置复杂度
网络绑定	`bind`指令绑定内网IP	单一服务器内网隔离	中	低
防火墙	iptables/firewalld规则	多服务器网络分段	高	中
认证机制	requirepass密码认证	内网可信环境二次验证	中	低
ACL控制	Redis 6.0+ ACL规则	精细化权限管理	高	高

二、具体配置实现

1. 网络绑定限制（基础防护）

修改Redis配置文件，仅绑定内网IP地址：

# 编辑Redis配置文件
sudo vim /etc/redis/redis.conf

# 找到bind配置项，修改为内网IP
bind 192.168.1.100 127.0.0.1

# 重启Redis服务
sudo systemctl restart redis-server

关键参数说明：

bind 192.168.1.100：仅允许通过指定内网IP访问
bind 127.0.0.1：保留本地环回接口访问权限
如需完全禁用公网访问，删除bind 0.0.0.0或bind ::配置

2. 防火墙规则配置（网络层防护）

使用iptables或firewalld限制Redis端口(6379)仅内网可访问：

# iptables方案 - 仅允许192.168.1.0/24网段访问
sudo iptables -A INPUT -p tcp --dport 6379 -s 192.168.1.0/24 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 6379 -j DROP

# firewalld方案 - 创建内网专属zone
sudo firewall-cmd --permanent --new-zone=redis-internal
sudo firewall-cmd --permanent --zone=redis-internal --add-source=192.168.1.0/24
sudo firewall-cmd --permanent --zone=redis-internal --add-port=6379/tcp
sudo firewall-cmd --permanent --zone=public --remove-port=6379/tcp
sudo firewall-cmd --reload

3. Redis认证加固（应用层防护）

启用密码认证并要求内网客户端提供凭证：

# redis.conf配置
requirepass "YourStrongPassword123!"

# 同时保护危险命令
rename-command FLUSHALL ""
rename-command FLUSHDB ""
rename-command CONFIG ""

# 生产环境建议结合ACL精细化控制（Redis 6.0+）
aclset user internal-user on >password123 ~192.168.1.* +@all -@dangerous

认证测试验证：

# 从内网客户端连接测试
redis-cli -h 192.168.1.100 -a YourStrongPassword123!

# 从外网尝试连接应被拒绝
redis-cli -h 公网IP -p 6379
# 返回错误: Connection refused 或 NOAUTH Authentication required

4. 系统级安全加固

# 创建专用redis用户和组
sudo groupadd redis
sudo useradd -r -g redis -s /bin/false redis

# 目录权限控制
sudo chown -R redis:redis /var/lib/redis
sudo chmod 750 /var/lib/redis

# 禁用透明大页（性能优化）
echo 'never' | sudo tee /sys/kernel/mm/transparent_hugepage/enabled

三、生产环境部署示例

完整的Redis内网隔离配置流程：

#!/bin/bash
# Redis内网安全部署脚本

REDIS_CONF="/etc/redis/redis.conf"
INTERNAL_NET="192.168.1.0/24"
REDIS_PASSWORD=$(openssl rand -base64 32)

echo "配置Redis仅内网访问..."

# 备份原配置
cp $REDIS_CONF ${REDIS_CONF}.backup

# 应用内网绑定配置
sed -i "s/^bind.*/bind 192.168.1.100 127.0.0.1/" $REDIS_CONF

# 设置强密码认证
echo "requirepass \"$REDIS_PASSWORD\"" >> $REDIS_CONF

# 禁用危险命令
echo "rename-command FLUSHALL \"\"" >> $REDIS_CONF
echo "rename-command FLUSHDB \"\"" >> $REDIS_CONF
echo "rename-command CONFIG \"\"" >> $REDIS_CONF

# 配置防火墙
iptables -A INPUT -p tcp --dport 6379 -s $INTERNAL_NET -j ACCEPT
iptables -A INPUT -p tcp --dport 6379 -j DROP

# 重启服务
systemctl restart redis-server
systemctl enable redis-server

echo "Redis内网访问配置完成"
echo "内网访问地址: 192.168.1.100:6379"
echo "访问密码: $REDIS_PASSWORD"

四、验证与监控

配置完成后需进行全面的访问测试：

# 内网访问测试（应成功）
redis-cli -h 192.168.1.100 -p 6379 -a $password PING
# 返回: PONG

# 外网访问测试（应失败）
redis-cli -h 公网IP -p 6379 PING
# 返回: Could not connect to Redis at 公网IP:6379: Connection refused

# 监控连接状态
redis-cli -h 192.168.1.100 -a $password INFO clients
# 查看连接客户端IP，确认均为内网地址

五、安全最佳实践