Redis集群SSL/TLS加密传输配置方法

Redis集群启用TLS加密，看似简单，实际踩进去才知道坑不少。核心要点只有一句话：所有节点必须统一开启TLS，版本、证书、配置一个都不能少——任何节点遗漏配置或混用明文端口，集群握手阶段都会直接失败，连个招呼都不打。

Redis 6+ 集群启用 TLS 的硬性前提

不是加上几行配置就能跑起来的。先确认三件事，缺一不可：

• redis-server --version 输出里必须带有 TLS 字样——如果没有，说明编译时未开启 BUILD_TLS=yes，需要重新编译
• OpenSSL 版本必须 ≥ 1.1.1（用 openssl version 查看），1.0.2 或更低版本会直接被拒绝连接
• 所有节点必须共用同一份 ca.crt，不能A节点使用自签CA、B节点使用另一套——cluster meet 时证书校验会直接失败

redis.conf 中必须显式设置的 TLS 参数

下面这五项，少一个，节点间通信就会降级为明文，redis-cli -c --tls 连上去也会报 Connection reset by peer：

• tls-cert-file：绝对路径，内容需包含完整证书链（server cert 与 intermediate CA 拼接在一起）
• tls-key-file：私钥文件，不能加密（生成时加了 -nodes），否则 redis 启动会卡在密码输入环节
• tls-ca-cert-file：只放根 CA（ca.crt），别把中间 CA 再塞进去
• tls-cluster yes：关键！默认是 no，不设置此项，节点间的 gossip 通信仍然走明文
• tls-replication yes：主从同步也走 TLS，否则 slave 拉取数据仍在裸奔

顺便提一句：port 0 和 tls-port 6379 要配套使用——禁用非 TLS 端口，避免运维误连明文端口。

客户端连 TLS 集群最容易踩的坑

不是加个 --tls 就万事大吉了。常见断连原因包括：

• redis-cli -c --tls --cacert /path/to/ca.crt -h node1 -p 6379 若缺少 --cacert，会直接 SSL handshake failed
• 集群发现阶段仍走明文：redis-cli 先连一个节点查 slots，如果该节点返回的跳转地址是 redis://（而非 rediss://），后续连接不会自动升级 TLS；解决方法是配置 cluster-announce-ip 和 cluster-announce-port 显式指向 TLS 端口
• Lettuce 客户端必须显式加载同一个 ca.crt 到 SslConfiguration，否则会抛 javax.net.ssl.SSLHandshakeException
• PhpRedis 用 tls://host:port 方式连接时，PHP 必须已启用 openssl 扩展（用 php -m | grep openssl 验证）

证书更新和滚动重启的实操要点

证书过期不是 reload 配置就能解决的，必须滚动重启：

• 新证书替换后，先逐个重启 slave 节点，再执行 failover 把旧 master 变为 slave，最后重启它
• 千万别所有节点同时 kill -9，否则 CLUSTERDOWN 状态恢复很慢，而且可能触发 slot 不一致
• 验证方式：连接后执行 CLIENT LIST，查看 tls 字段是否为 1；或者用 openssl s_client -connect host:6379 -CAfile ca.crt 直连测试握手

最容易被忽略的是：集群节点间通信与客户端连接是两套独立的 TLS 链路。tls-cluster yes 和 tls-replication yes 控制前者，--cacert 或客户端 SNI 设置控制后者——两边都必须对齐，才算真正实现全链路加密。