当前位置：首页 > news >正文

docker安装 redis 并且加密开启SSL/TLS通道

news 2025/7/12 18:43:55

拉取镜像

docker pull registry.cn-hangzhou.aliyuncs.com/qiluo-images/redis:latest
docker tag registry.cn-hangzhou.aliyuncs.com/qiluo-images/redis:latest redis:latest

要在 Docker 容器中启动 Redis 并开启 SSL/TLS 加密，需按照以下步骤修改启动命令和配置文件：

生成或获取 SSL 证书
首先，你需要为 Redis 服务生成 SSL 证书和私钥（或者使用已有的证书）。可以使用 openssl 生成自签名证书：

# 生成私钥
openssl genrsa -out /data/redis/ssl/redis-server.key 2048# 生成自签名证书
openssl req -new -x509 -key /data/redis/ssl/redis-server.key -out /data/redis/ssl/redis-server.crt -days 3650# 如果需要客户端认证，也生成客户端证书
openssl genrsa -out /data/redis/ssl/redis-client.key 2048
openssl req -new -x509 -key /data/redis/ssl/redis-client.key -out /data/redis/ssl/redis-client.crt -days 3650

确保生成的证书和密钥文件保存在 /data/redis/ssl/ 目录下。

修改 Redis 配置文件
编辑挂载到容器的 Redis 配置文件 /data/redis/redis.conf，添加 SSL/TLS 的相关配置：

# 指定 Redis 使用的证书和密钥文件
tls-cert-file /etc/redis/ssl/redis-server.crt
tls-key-file /etc/redis/ssl/redis-server.key
# 如果有 CA 证书，指定 CA 证书路径
tls-ca-cert-file /etc/redis/ssl/ca.crt  # 可选项，如果需要客户端认证
# 是否强制客户端认证
tls-auth-clients no  # 如果需要客户端认证，则设为yes
# 启用 TLS 端口
port 0                   # 禁用未加密的默认端口
tls-port 6379             # 启用加密的 TLS 端口
# 可选配置：控制加密算法
tls-ciphers "DEFAULT:!aNULL:!eNULL:!SSLv2"  # 可选的加密套件配

运行 Docker 容器
在 Docker 容器中运行 Redis，并确保挂载了证书和密钥文件的目录，同时配置 TLS 端口。你的 Docker 命令需要修改为：

docker run --restart=always --sysctl net.core.somaxconn=1024 \-p 6379:6379 \--name redis \-v /data/redis/redis.conf:/etc/redis/redis.conf \-v /data/redis/log/:/var/log/redis/ \-v /data/redis/data:/data \-v /data/redis/ssl:/etc/redis/ssl \  # 挂载SSL证书和密钥-d redis redis-server /etc/redis/redis.conf --tls-port 6379 --tls-cert-file /etc/redis/ssl/redis-server.crt --tls-key-file /etc/redis/ssl/redis-server.key --tls-ca-cert-file /etc/redis/ssl/ca.crt --appendonly yes --requirepass 87vhqEneQ5u8

通过 -v /data/redis/ssl:/etc/redis/ssl 挂载证书和密钥到容器。
使用 --tls-port 6379 启动 Redis 的 TLS 加密端口。
4. 客户端连接（使用 TLS）
要连接到启用了 TLS 的 Redis 实例，需要使用支持 TLS 的客户端。以下是 redis-cli 使用 TLS 连接的命令：

redis-cli --tls \--cert /data/redis/ssl/redis-client.crt \--key /data/redis/ssl/redis-client.key \--cacert /data/redis/ssl/ca.crt \-h redis-server-host \-p 6379 \-a 87vhqEneQ5u8

验证 SSL/TLS 是否启用
运行以下命令来测试是否通过 TLS 连接：

redis-cli --tls -h redis-server-host -p 6379 -a 87vhqEneQ5u8 ping

springBoot 配置文件如何连接
要在 Spring Boot 中通过 SSL/TLS 连接启用 SSL 的 Redis 实例，您需要在 Spring Boot 的 application.yml 或 application.properties 文件中进行相应的配置。

假设 Redis 已启用 SSL，并且 Redis 需要密码验证。以下是如何在 Spring Boot 配置文件中进行连接的步骤。

使用 application.yml 配置 Redis 连接

spring:redis:host: redis-server-host  # Redis 服务器的主机名或IPport: 6379  # Redis TLS 端口password: 87vhqEneQ5u8  # Redis 密码ssl: true  # 启用 SSLlettuce:pool:max-active: 8  # 连接池的最大活跃连接数max-idle: 8  # 连接池中最大的空闲连接数min-idle: 0  # 连接池中最小的空闲连接数

在此配置中：

ssl: true 用于启用 Redis 的 SSL/TLS 连接。
host 和 port 是 Redis 服务器的地址和 TLS 端口。
password 是 Redis 的连接密码。
2. 使用 application.properties 配置 Redis 连接

spring.redis.host=redis-server-host  # Redis 服务器的主机名或IP
spring.redis.port=6379  # Redis TLS 端口
spring.redis.password=87vhqEneQ5u8  # Redis 密码
spring.redis.ssl=true  # 启用 SSL
spring.redis.lettuce.pool.max-active=8  # 连接池最大活跃连接数
spring.redis.lettuce.pool.max-idle=8  # 连接池最大空闲连接数
spring.redis.lettuce.pool.min-idle=0  # 连接池最小空闲连接数

自定义 LettuceClientConfiguration（如果需要指定证书等更多配置）
如果需要更高级的 SSL 配置（如指定客户端证书等），你可以在 RedisConnectionFactory 中自定义 LettuceClientConfiguration：

import io.lettuce.core.SslOptions;
import io.lettuce.core.resource.ClientResources;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.data.redis.connection.lettuce.LettuceClientConfiguration;
import org.springframework.data.redis.connection.lettuce.LettuceConnectionFactory;
import org.springframework.data.redis.connection.RedisStandaloneConfiguration;
import java.time.Duration;@Configuration
public class RedisConfig {@Beanpublic LettuceConnectionFactory redisConnectionFactory() {// Redis 单节点配置RedisStandaloneConfiguration redisConfig = new RedisStandaloneConfiguration();redisConfig.setHostName("redis-server-host");redisConfig.setPort(6379);redisConfig.setPassword("87vhqEneQ5u8");// 配置 SSLSslOptions sslOptions = SslOptions.builder().jdkSslProvider() // 使用JDK默认的SSLProvider.build();// Lettuce 配置，启用SSLLettuceClientConfiguration clientConfig = LettuceClientConfiguration.builder().useSsl()  // 启用SSL.sslOptions(sslOptions).commandTimeout(Duration.ofSeconds(60)).build();return new LettuceConnectionFactory(redisConfig, clientConfig);}
}