拉取镜像
docker pull registry.cn-hangzhou.aliyuncs.com/qiluo-images/redis:latest
docker tag registry.cn-hangzhou.aliyuncs.com/qiluo-images/redis:latest redis:latest
要在 Docker 容器中启动 Redis 并开启 SSL/TLS 加密,需按照以下步骤修改启动命令和配置文件:
- 生成或获取 SSL 证书
首先,你需要为 Redis 服务生成 SSL 证书和私钥(或者使用已有的证书)。可以使用 openssl 生成自签名证书:
# 生成私钥
openssl genrsa -out /data/redis/ssl/redis-server.key 2048
# 生成自签名证书
openssl req -new -x509 -key /data/redis/ssl/redis-server.key -out /data/redis/ssl/redis-server.crt -days 3650
# 如果需要客户端认证,也生成客户端证书
openssl genrsa -out /data/redis/ssl/redis-client.key 2048
openssl req -new -x509 -key /data/redis/ssl/redis-client.key -out /data/redis/ssl/redis-client.crt -days 3650
确保生成的证书和密钥文件保存在 /data/redis/ssl/ 目录下。
- 修改 Redis 配置文件
编辑挂载到容器的 Redis 配置文件 /data/redis/redis.conf,添加 SSL/TLS 的相关配置:
# 指定 Redis 使用的证书和密钥文件
tls-cert-file /etc/redis/ssl/redis-server.crt
tls-key-file /etc/redis/ssl/redis-server.key
# 如果有 CA 证书,指定 CA 证书路径
tls-ca-cert-file /etc/redis/ssl/ca.crt # 可选项,如果需要客户端认证
# 是否强制客户端认证
tls-auth-clients no # 如果需要客户端认证,则设为yes
# 启用 TLS 端口
port 0 # 禁用未加密的默认端口
tls-port 6379 # 启用加密的 TLS 端口
# 可选配置:控制加密算法
tls-ciphers "DEFAULT:!aNULL:!eNULL:!SSLv2" # 可选的加密套件配
- 运行 Docker 容器
在 Docker 容器中运行 Redis,并确保挂载了证书和密钥文件的目录,同时配置 TLS 端口。你的 Docker 命令需要修改为:
docker run --restart=always --sysctl net.core.somaxconn=1024 \
-p 6379:6379 \
--name redis \
-v /data/redis/redis.conf:/etc/redis/redis.conf \
-v /data/redis/log/:/var/log/redis/ \
-v /data/redis/data:/data \
-v /data/redis/ssl:/etc/redis/ssl \ # 挂载SSL证书和密钥
-d redis redis-server /etc/redis/redis.conf --tls-port 6379 --tls-cert-file /etc/redis/ssl/redis-server.crt --tls-key-file /etc/redis/ssl/redis-server.key --tls-ca-cert-file /etc/redis/ssl/ca.crt --appendonly yes --requirepass 87vhqEneQ5u8
通过 -v /data/redis/ssl:/etc/redis/ssl 挂载证书和密钥到容器。
使用 --tls-port 6379 启动 Redis 的 TLS 加密端口。
4. 客户端连接(使用 TLS)
要连接到启用了 TLS 的 Redis 实例,需要使用支持 TLS 的客户端。以下是 redis-cli 使用 TLS 连接的命令:
redis-cli --tls \
--cert /data/redis/ssl/redis-client.crt \
--key /data/redis/ssl/redis-client.key \
--cacert /data/redis/ssl/ca.crt \
-h redis-server-host \
-p 6379 \
-a 87vhqEneQ5u8
- 验证 SSL/TLS 是否启用
运行以下命令来测试是否通过 TLS 连接:
redis-cli --tls -h redis-server-host -p 6379 -a 87vhqEneQ5u8 ping
springBoot 配置文件如何连接
要在 Spring Boot 中通过 SSL/TLS 连接启用 SSL 的 Redis 实例,您需要在 Spring Boot 的 application.yml 或 application.properties 文件中进行相应的配置。
假设 Redis 已启用 SSL,并且 Redis 需要密码验证。以下是如何在 Spring Boot 配置文件中进行连接的步骤。
- 使用 application.yml 配置 Redis 连接
spring:
redis:
host: redis-server-host # Redis 服务器的主机名或IP
port: 6379 # Redis TLS 端口
password: 87vhqEneQ5u8 # Redis 密码
ssl: true # 启用 SSL
lettuce:
pool:
max-active: 8 # 连接池的最大活跃连接数
max-idle: 8 # 连接池中最大的空闲连接数
min-idle: 0 # 连接池中最小的空闲连接数
在此配置中:
ssl: true 用于启用 Redis 的 SSL/TLS 连接。
host 和 port 是 Redis 服务器的地址和 TLS 端口。
password 是 Redis 的连接密码。
2. 使用 application.properties 配置 Redis 连接
spring.redis.host=redis-server-host # Redis 服务器的主机名或IP
spring.redis.port=6379 # Redis TLS 端口
spring.redis.password=87vhqEneQ5u8 # Redis 密码
spring.redis.ssl=true # 启用 SSL
spring.redis.lettuce.pool.max-active=8 # 连接池最大活跃连接数
spring.redis.lettuce.pool.max-idle=8 # 连接池最大空闲连接数
spring.redis.lettuce.pool.min-idle=0 # 连接池最小空闲连接数
- 自定义 LettuceClientConfiguration(如果需要指定证书等更多配置)
如果需要更高级的 SSL 配置(如指定客户端证书等),你可以在 RedisConnectionFactory 中自定义 LettuceClientConfiguration:
import io.lettuce.core.SslOptions;
import io.lettuce.core.resource.ClientResources;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.data.redis.connection.lettuce.LettuceClientConfiguration;
import org.springframework.data.redis.connection.lettuce.LettuceConnectionFactory;
import org.springframework.data.redis.connection.RedisStandaloneConfiguration;
import java.time.Duration;
@Configuration
public class RedisConfig {
@Bean
public LettuceConnectionFactory redisConnectionFactory() {
// Redis 单节点配置
RedisStandaloneConfiguration redisConfig = new RedisStandaloneConfiguration();
redisConfig.setHostName("redis-server-host");
redisConfig.setPort(6379);
redisConfig.setPassword("87vhqEneQ5u8");
// 配置 SSL
SslOptions sslOptions = SslOptions.builder()
.jdkSslProvider() // 使用JDK默认的SSLProvider
.build();
// Lettuce 配置,启用SSL
LettuceClientConfiguration clientConfig = LettuceClientConfiguration.builder()
.useSsl() // 启用SSL
.sslOptions(sslOptions)
.commandTimeout(Duration.ofSeconds(60))
.build();
return new LettuceConnectionFactory(redisConfig, clientConfig);
}
}
这段代码通过 LettuceClientConfiguration 自定义 SSL 选项并创建 Redis 连接工厂。