redis集群实践+等保要求的整改方案

redis保护模式需要关闭，否则集群打不开
protected-mode no

构建redis集群的脚本

mkdir redis-cluster
mkdir 7001 7002
for i in 3 4;
do echo -e "port 700$i\n\
protected-mode no\n\
daemonize yes\n\
pidfile /var/run/redis_700$i.pid\n\
cluster-enabled yes\n\
cluster-config-file nodes_700$i.conf\n\
cluster-node-timeout 10100" > 700$i/redis.conf;
done
# 在等保中，往往要求绑定入口网卡，这个时候需要根据实际情况配置bind参数，bind参数的含义是：用户可以从这些网卡进，也就是可以访问的Ip
# 建立集群
redis-trib create --replicas 1 192.168.73.201:7001 192.168.73.201:7002 192.168.73.202:7001 192.168.73.202:7002 192.168.73.203:7001 192.168.73.203:7002
# 关闭节点的防火墙
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 7001 -j ACCEPT
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 17001 -j ACCEPT
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 7002 -j ACCEPT
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 17002 -j ACCEPT
# 进入redisclient
redis-cli -c
# 修改密码，注意每个节点的密码应该保持相等
config set masterauth xxxxx
config set requirepass xxxxx
config rewrite
# 带密码访问集群
redis-cli -c -p 7001 -a xxxxxx
# 设置时间戳
timedatectl set-timezone Asia/Shanghai
# redis最小权限运行 安全要求
useradd -s /sbin/nolog -M redis 
sudo -u redis //redis-server //redis.conf
# redis屏蔽关键方法 等保要求
rename-command CONFIG OQpWDyfcSU7784vQGJ01
rename-command FLUSHALL FKkZAWh3jhc57JciD2Bi
rename-command FLUSHDB vWk1fgSFwZroGLXSu3UD
rename-command SHUTDOWN RRAD4JLs4cAIan1BR6M6
# redis集群打开日志审计功能，并写入系统日志文件中
syslog-enabled yes
syslog-ident redis
syslog-facility local0