Redis集群SSL/TLS加密传输配置方法

Redis集群启用TLS这件事，看着简单，踩进去才知道坑不少。核心就一句话：所有节点必须统一开启TLS，版本、证书、配置一个都不能少——任何节点漏配或者混用明文端口，集群握手阶段直接失败，连个招呼都不打。

Redis 6+ 集群启用 TLS 的硬性前提

不是加几行配置就能跑起来的。先确认三件事，少一件都不行：

• redis-server --version 输出里必须带 TLS 字样——没这个，就说明编译时没开 BUILD_TLS=yes，得重新编译一遍
• OpenSSL 版本必须 ≥ 1.1.1（用 openssl version 查），1.0.2 或更低版本直接拒连
• 所有节点必须共用同一份 ca.crt，不能A节点用自签CA、B节点用另一套——cluster meet 时证书校验会直接失败

redis.conf 中必须显式设置的 TLS 参数

下面这五项，少一个，节点间通信就降级为明文，redis-cli -c --tls 连上去也会报 Connection reset by peer：

• tls-cert-file：绝对路径，内容需包含完整证书链（server cert + intermediate CA 拼在一起）
• tls-key-file：私钥文件，不能加密（生成时加了 -nodes），否则 redis 启动会卡在密码输入
• tls-ca-cert-file：只放根 CA（ca.crt），别把中间 CA 再塞进去
• tls-cluster yes：关键！默认是 no，不设这个，节点间 gossip 仍然走明文
• tls-replication yes：主从同步也走 TLS，否则 slave 拉数据还是裸奔

顺带提一句：port 0 和 tls-port 6379 要配套使用——禁掉非 TLS 端口，避免运维误连明文端口。

客户端连 TLS 集群最容易踩的坑

不是加个 --tls 就万事大吉了。常见断连原因有这些：

• redis-cli -c --tls --cacert /path/to/ca.crt -h node1 -p 6379 缺了 --cacert，直接 SSL handshake failed
• 集群发现阶段仍走明文：redis-cli 先连一个节点查 slots，如果该节点返回的跳转地址是 redis://（而非 rediss://），后续连接不会自动升 TLS；解决方法是配置 cluster-announce-ip 和 cluster-announce-port 显式指向 TLS 端口
• Lettuce 客户端必须显式加载同一个 ca.crt 到 SslConfiguration，否则抛 javax.net.ssl.SSLHandshakeException
• PhpRedis 用 tls://host:port 方式连接时，PHP 必须已启用 openssl 扩展（php -m | grep openssl 验证）

证书更新和滚动重启的实操要点

证书过期不是 reload 配置就能解决的，必须滚动重启：

• 新证书替换后，先逐个重启 slave 节点，再切 failover 把 old master 变成 slave，最后重启它
• 千万别所有节点同时 kill -9，CLUSTERDOWN 状态恢复慢，而且可能触发 slot 不一致
• 验证方式：连上后执行 CLIENT LIST，看 tls 字段是否为 1；或者用 openssl s_client -connect host:6379 -CAfile ca.crt 直连测握手

最常被忽略的是：集群节点间通信和客户端连接是两套 TLS 链路。tls-cluster yes 和 tls-replication yes 控制前者，--cacert 或客户端 SNI 设置控制后者——两边都得对齐，才算真正加密。