Redis requirepass 命令使用教程 – wiki基地

作者： /

Redis安全基石：requirepass命令深度教程与最佳实践

引言：Redis的性能与安全性挑战

Redis，作为一款高性能的键值存储系统，以其出色的读写速度和丰富的数据结构，在现代互联网架构中扮演着至关重要的角色，广泛应用于缓存、消息队列、实时统计等场景。然而，Redis的默认配置为了追求极致的简便性和性能，在安全性方面通常是比较宽松的。默认情况下，一个未设置密码的Redis实例，只要网络可达，任何客户端都可以无需认证地连接并执行所有命令，包括读取、写入、删除所有数据，甚至执行危险的命令如 FLUSHALL。

这种默认的开放性使得Redis在部署时必须高度重视安全性。如果将一个未经保护的Redis实例直接暴露在公共网络上，几乎是立刻就会遭受恶意攻击，数据泄露或被篡改的风险极高。因此，保护Redis实例是运维和开发人员必须优先考虑的任务之一。

Redis提供了多种安全机制，其中最基本、最常用的就是通过 requirepass 配置指令为Redis实例设置连接密码。本文将深入探讨 requirepass 命令的使用方法、工作原理、最佳实践以及其局限性，帮助您构建更安全的Redis环境。

什么是 requirepass？

requirepass 是Redis服务器的一个配置指令，用于设置客户端连接Redis时所需的认证密码。一旦设置了 requirepass，所有连接到该Redis实例的客户端，在执行大部分命令之前，必须先使用 AUTH 命令提供正确的密码进行身份验证。

简单来说，requirepass 就是给你的Redis数据库加了一把锁，只有知道钥匙（密码）的人才能打开并操作数据。

为什么需要设置 requirepass？

设置 requirepass 是保护你的Redis数据的第一道防线。其主要作用包括：

  1. 防止未经授权的访问： 确保只有知道密码的合法客户端才能连接和操作Redis。
  2. 抵御自动化扫描和攻击： 大多数针对开放Redis的扫描工具会尝试连接并执行命令。设置密码可以有效地阻止这些未经认证的连接，避免被轻易攻破。
  3. 满足合规性要求： 许多安全标准和合规性要求都强制对敏感数据存储进行访问控制，设置密码是基本要求之一。

虽然 requirepass 是重要的基础安全措施，但需要强调的是，它并非万无一失的终极解决方案。一个强大的安全策略通常需要多层防御，requirepass 只是其中的一层。

requirepass 的工作原理

当Redis服务器配置了 requirepass <password> 后：

  1. 客户端建立与Redis服务器的TCP连接。
  2. 在执行除 AUTH、HELLO、PING、QUIT 等少数命令之外的任何命令时，如果客户端尚未认证，服务器将返回 (error) NOAUTH Authentication required. 错误。
  3. 客户端需要通过 AUTH <password> 命令向服务器发送密码。
  4. 如果密码正确，服务器将返回 OK，表示认证成功。此后，该客户端连接就可以执行所有允许的命令。
  5. 如果密码错误，服务器将返回 (error) ERR invalid password 错误，并且该连接将保持未认证状态，继续尝试执行命令仍会收到 NOAUTH 错误。

需要注意的是，AUTH 认证是基于连接的。每个新的客户端连接都需要独立进行认证。认证成功后，该连接在断开之前都处于认证状态。

如何设置 requirepass？

设置 requirepass 主要有两种方法：通过配置文件（推荐）和通过运行时命令。

方法一：通过修改 Redis 配置文件（推荐）

这是设置 requirepass 的标准和推荐方法，因为它保证了设置的持久性，并且密码不会在Redis的命令历史或日志中轻易暴露（不像运行时命令那样）。

步骤：

  1. 找到 Redis 配置文件： Redis的配置文件通常命名为 redis.conf。它的位置取决于你的安装方式和操作系统。
    • 通过包管理器安装（如apt, yum）：通常在 /etc/redis/redis.conf 或 /usr/local/etc/redis.conf。
    • 通过源码编译安装：通常在你编译安装目录下的 redis.conf 文件。
    • 如果不知道位置，可以通过 redis-cli config get dir 命令获取Redis的工作目录，配置文件可能就在那里，或者在Redis启动时指定了配置文件的路径，可以查看启动脚本或服务定义。
  2. 编辑配置文件： 使用文本编辑器打开 redis.conf 文件。
    • 例如：sudo nano /etc/redis/redis.conf 或 sudo vim /etc/redis/redis.conf
  3. 查找 requirepass 指令： 在配置文件中搜索 requirepass。通常它会被注释掉（行首有 #），并且可能有一个默认值 foobared。
    • 示例行：# requirepass foobared
  4. 取消注释并设置你的密码： 删除行首的 #，并将 foobared 替换为你希望设置的强大密码。
    • 例如：requirepass YourVeryStrongPassword123!
    • 重要： 选择一个足够复杂、难以猜测的密码。密码应包含大小写字母、数字和符号，并且有足够的长度（建议至少12-16位）。不要使用简单的词汇、生日、用户名等容易被字典攻击或猜解的信息。
  5. 保存并关闭文件。
  6. 重启 Redis 服务器： 为了让配置文件的修改生效，必须重启Redis服务。
    • 对于使用 Systemd 的系统（如较新的 Ubuntu, CentOS 7+）：
      sudo systemctl restart redis
    • 对于使用 SysVinit 的系统（如较旧的 Ubuntu, CentOS 6）：
      sudo service redis restart
    • 如果你是手动启动Redis，则需要停止当前进程并使用新的配置文件重新启动。
    • 注意：重启会短暂中断Redis服务，确保你的应用能够处理这个中断。在生产环境操作前务必做好计划。

验证设置：

重启后，使用 redis-cli 连接Redis服务器进行验证。

  1. 不带密码连接并尝试执行命令（如 PING）：
    bash
    redis-cli
    127.0.0.1:6379> PING
    (error) NOAUTH Authentication required.
    127.0.0.1:6379> GET mykey
    (error) NOAUTH Authentication required.
    如果看到 NOAUTH Authentication required. 错误，说明密码设置成功并生效了。
  2. 使用 AUTH 命令进行认证：
    bash
    127.0.0.1:6379> AUTH YourVeryStrongPassword123!
    OK
    127.0.0.1:6379> PING
    PONG
    127.0.0.1:6379> GET mykey
    (nil) # 或其他结果，表示命令可以正常执行了
    如果 AUTH 返回 OK，并且后续命令可以正常执行，说明认证成功。
  3. （可选）在连接时直接提供密码（不推荐在命令行中直接暴露密码）：
    bash
    redis-cli -a YourVeryStrongPassword123!
    127.0.0.1:6379> PING
    PONG
    -a 参数用于在连接时直接发送 AUTH 命令。这种方式会把密码留在你的shell历史记录中，存在安全风险，不推荐在生产环境或多用户机器上使用。更安全的方式是先连接，然后手动输入 AUTH 命令。

方法二：通过运行时命令 CONFIG SET

Redis允许在运行时通过 CONFIG SET 命令修改某些配置项，包括 requirepass。这种方法的好处是无需重启Redis服务，可以即时生效。然而，它有明显的缺点，不推荐在生产环境中作为主要设置密码的方式。

步骤：

  1. 使用 redis-cli 连接到 未设置密码 或 已知当前密码 的Redis实例。
    • 如果当前Redis 没有 设置密码：redis-cli
    • 如果当前Redis 已经 设置了密码，并且你知道当前密码：redis-cli -a current_password 或连接后 AUTH current_password
  2. 使用 CONFIG SET requirepass 命令设置新密码：
    bash
    redis-cli
    127.0.0.1:6379> CONFIG SET requirepass YourNewStrongPassword456!
    OK
    或者如果已经认证：
    bash
    redis-cli
    127.0.0.1:6379> AUTH current_password
    OK
    127.0.0.1:6379> CONFIG SET requirepass YourNewStrongPassword456!
    OK
    如果 OK 返回，密码已经即时生效。从现在开始，所有新连接都需要使用 YourNewStrongPassword456! 进行认证。当前已经认证的连接不受影响。

这种方法的缺点和注意事项：

  1. 非持久性： 仅仅执行 CONFIG SET 命令修改的配置是非持久的。如果Redis服务器重启，它会重新加载配置文件，而配置文件中的 requirepass 项可能仍然是旧的密码、默认的 foobared（如果未修改）或者甚至没有设置密码（如果被注释掉了）。这意味着重启后你的密码设置就失效了！
  2. 持久化配置： 要让通过 CONFIG SET 设置的密码持久化，你需要接着执行 CONFIG REWRITE 命令。这个命令会将当前Redis的配置写回到 redis.conf 文件中（或者如果配置文件路径未知，则写入到默认路径）。
    bash
    127.0.0.1:6379> CONFIG REWRITE
    OK
    然而，CONFIG REWRITE 命令会重写整个配置文件，它会根据当前服务器的配置状态生成一个新的 redis.conf 文件来替换原文件。这可能会丢失你在原始配置文件中添加的注释、自定义排版或其他Redis未知的配置项（虽然这种情况较少）。更重要的是，如果在执行 CONFIG SET requirepass 和 CONFIG REWRITE 之间服务器崩溃或断电，新的密码将不会被保存到配置文件中，导致重启后密码丢失。
  3. 密码暴露： 使用 CONFIG SET requirepass 命令时，密码会作为参数出现在命令行中。这可能导致密码被记录在服务器的命令历史文件 (.bash_history等) 中，或者在通过进程列表 (ps aux) 查看时被短暂捕获，存在安全隐患。
  4. 原子性问题： CONFIG SET 和 CONFIG REWRITE 不是原子操作。如果在两者之间发生故障，可能导致配置不一致。

总结： 除非有非常特殊的需求（例如，在不中断服务的情况下临时快速设置一个密码），否则强烈建议通过修改 redis.conf 文件来设置 requirepass。

客户端如何使用 AUTH 命令认证？

在设置了 requirepass 后，客户端必须使用 AUTH <password> 命令进行认证。

使用 redis-cli：

“`bash

连接到Redis服务器

redis-cli -h your_redis_host -p your_redis_port

尝试执行命令，会失败

127.0.0.1:6379> KEYS *
(error) NOAUTH Authentication required.

使用AUTH命令认证

127.0.0.1:6379> AUTH YourVeryStrongPassword123!
OK

认证成功后，执行命令

127.0.0.1:6379> KEYS *
1) “mykey”
2) “anotherkey”
…
“`

在编程语言中：

几乎所有流行的Redis客户端库都提供了设置密码或在连接后执行 AUTH 命令的方法。具体方法因库而异，但基本原理是在建立连接后，执行任何数据操作命令之前，调用相应的认证方法并传入密码。

例如（概念性代码，具体语法取决于库）：

  • Python (redis-py):
    “`python
    import redis
    r = redis.Redis(host=’your_redis_host’, port=your_redis_port, password=’YourVeryStrongPassword123!’)
    # 或者先连接再认证（不太常见）
    # r = redis.Redis(host=’your_redis_host’, port=your_redis_port)
    # r.auth(‘YourVeryStrongPassword123!’)

    try:
    r.ping() # 尝试连接并认证
    print(“Connected to Redis successfully!”)
    keys = r.keys(‘*’)
    print(keys)
    except redis.exceptions.AuthenticationError:
    print(“Authentication failed!”)
    except redis.exceptions.ConnectionError as e:
    print(f”Connection error: {e}”)
    “`

  • Java (Jedis):
    “`java
    import redis.clients.jedis.Jedis;

    Jedis jedis = new Jedis(“your_redis_host”, your_redis_port);
    try {
    String authResponse = jedis.auth(“YourVeryStrongPassword123!”);
    if (“OK”.equals(authResponse)) {
    System.out.println(“Authenticated successfully!”);
    // 执行其他命令
    System.out.println(jedis.keys(“*”));
    } else {
    System.out.println(“Authentication failed: ” + authResponse);
    }
    } catch (Exception e) {
    e.printStackTrace();
    } finally {
    if (jedis != null) {
    jedis.close();
    }
    }
    “`

  • Node.js (ioredis):
    “`javascript
    const Redis = require(‘ioredis’);
    const redis = new Redis({
    host: ‘your_redis_host’,
    port: your_redis_port,
    password: ‘YourVeryStrongPassword123!’
    });

    redis.on(‘connect’, () => {
    console.log(‘Connected to Redis’);
    redis.keys(‘*’).then(keys => {
    console.log(‘Keys:’, keys);
    }).catch(err => {
    console.error(‘Error getting keys:’, err);
    });
    });

    redis.on(‘error’, (err) => {
    if (err.message.includes(‘Authentication required’)) {
    console.error(‘Authentication failed!’);
    } else {
    console.error(‘Redis error:’, err);
    }
    });
    “`

请查阅您所使用的特定客户端库的文档，以获取最准确和详细的认证方法。

选择安全的密码

设置 requirepass 的关键在于选择一个安全的密码。一个弱密码如同虚设。以下是一些选择安全密码的建议：

  • 长度： 密码越长越好。建议至少12-16位。
  • 复杂性： 组合使用大小写字母、数字和特殊符号（如 !@#$%^&*()）。
  • 唯一性： 不要将Redis的密码用于其他任何服务（包括其他数据库、网站账号等）。
  • 避免常见模式： 不要使用容易猜测的信息，如：
    • 公司名称、产品名称
    • 用户名、生日、电话号码
    • 连续的数字或字母（如 123456, abcdef）
    • 键盘上的连续按键（如 qwerty）
    • 常见的字典词汇或其简单组合
  • 使用密码管理器或生成器： 考虑使用专业的密码管理工具来生成和存储复杂的、随机的密码。
  • 定期更换： 根据您的安全策略，考虑定期更换Redis密码。
  • 密钥管理： 如果密码非常敏感且需要跨团队或系统共享，考虑使用密钥管理系统（如HashiCorp Vault, AWS Secrets Manager等）来安全地存储和检索密码，而不是直接硬编码在配置文件或代码中。

requirepass 的局限性

尽管 requirepass 是一个重要的安全步骤，但它有其固有的局限性：

  1. 单密码机制： requirepass 只有一个全局密码。所有客户端，无论其身份或所需的操作，都使用同一个密码进行认证。这使得实现基于用户的访问控制或权限隔离变得不可能。一旦密码泄露，所有数据都面临风险。
  2. 缺乏细粒度权限控制： requirepass 只决定一个客户端是否有权执行 任何 命令（除了少数几个命令）。它无法限制某个用户只能执行读操作而不能执行写操作，或者只能访问特定的键前缀。
  3. 密码泄露风险： 密码存储在配置文件中（尽管通常有文件系统权限保护），或者在通过 CONFIG SET 设置时可能出现在命令历史中。客户端代码中也需要包含或引用密码。这些都增加了密码泄露的风险。
  4. 历史密码可见性问题（已修复/缓解）： 在Redis早期版本中，认证密码可能会在 INFO commandstats 输出中以明文或某种可恢复的形式短暂出现。这个问题在较新的Redis版本中已经得到修复或缓解，但仍然提示我们需要关注Redis服务器本身的安全加固。
  5. 对本地攻击防御有限： requirepass 主要防御网络上的未经授权访问。如果攻击者已经获得了服务器的本地访问权限，他们可能绕过密码（例如，直接读取Redis内存或数据文件）。

更全面的 Redis 安全措施

鉴于 requirepass 的局限性，为了构建一个真正安全的Redis环境，仅仅设置密码是不够的。以下是其他重要的安全措施，应该与 requirepass 结合使用：

  1. 绑定到特定IP地址 (bind)： Redis配置中的 bind 指令可以限制Redis只监听特定的网络接口或IP地址。例如，如果你只需要应用程序服务器访问Redis，可以将Redis绑定到应用程序服务器的IP地址或本地环回地址 (127.0.0.1 或 ::1)。
    • 示例：bind 127.0.0.1 your_app_server_ip
    • 如果你的Redis和应用在同一台服务器上，设置为 bind 127.0.0.1 是最安全的，阻止了所有来自外部网络的连接尝试。
  2. 配置防火墙： 这是防止未经授权访问 Redis 最重要、最有效的手段。 在服务器的操作系统层面配置防火墙规则（如 iptables, firewalld, 安全组等），只允许来自可信IP地址（如你的应用程序服务器、管理服务器）访问Redis端口（默认为6379）。阻止所有来自公共网络的连接尝试。这是即使设置了密码也必不可少的步骤，因为它可以在网络层面就拒绝连接，减轻Redis服务器本身的负担，并减少密码被暴力破解的机会。
  3. 启用 TLS/SSL 加密： 对于在不安全网络（如公共互联网）上传输敏感数据的场景，或者即使在内部网络也希望加密数据，可以配置Redis支持TLS/SSL加密连接。这确保了即使流量被截获，也无法读取传输的数据和密码。Redis在版本6及以上通过 tls-* 系列配置指令支持TLS。
  4. 使用访问控制列表（ACLs）： 从Redis 6.0 开始，引入了强大的访问控制列表（ACL）功能。ACL允许你创建不同的用户，每个用户拥有自己的密码，并可以配置细粒度的权限，例如允许访问哪些命令、哪些键空间等。ACL是 requirepass 的更高级和灵活的替代方案，推荐在需要多用户或精细权限控制的场景中使用ACL。如果启用了ACL，requirepass 配置会被忽略。
  5. 最小化权限运行 Redis： 避免使用 root 用户运行 Redis 服务。创建一个专门的用户（如 redis 用户）并使用该用户启动 Redis，限制其文件系统权限和其他系统资源的访问。
  6. 重命名或禁用危险命令： Redis提供了一些可能非常危险的命令，例如 FLUSHALL (删除所有数据库中的所有键)、FLUSHDB (删除当前数据库中的所有键)、CONFIG (运行时修改配置)、DEBUG 等。在生产环境中，可以考虑在 redis.conf 中使用 rename-command 指令将这些命令重命名为难以猜测的名称，或者将其重命名为空字符串来禁用它们。
    • 示例：rename-command FLUSHALL "", rename-command CONFIG "", rename-command KEYS "" # 小心禁用KEYS

将 requirepass 与上述一项或多项措施结合使用，可以显著提升Redis实例的安全性。对于大多数基础应用场景，设置 requirepass 并结合防火墙限制访问IP通常已经足够提供一个良好的安全基础。

常见问题与故障排除

  • 错误: (error) NOAUTH Authentication required.
    • 原因: 你尝试在没有认证的情况下执行一个需要认证的命令。
    • 解决方案: 使用 AUTH <password> 命令提供正确的密码进行认证。确认你的客户端代码或 redis-cli 命令包含了认证步骤。
  • 错误: (error) ERR invalid password
    • 原因: 你提供的密码不正确。
    • 解决方案: 仔细检查输入的密码是否与 redis.conf 或 CONFIG SET 设置的密码完全一致（包括大小写、特殊符号等）。如果怀疑密码错误，可以尝试重新设置密码（通过修改配置文件重启）。
  • 连接时出现 NOAUTH 错误，但确定配置文件密码正确并已重启？
    • 可能原因: Redis可能加载了其他配置文件，或者Redis进程不是你修改配置后重启的那个。
    • 解决方案:
      • 使用 redis-cli 连接（如果允许未认证连接的话）并执行 CONFIG GET requirepass 查看当前运行实例的密码配置。
      • 使用 redis-cli CONFIG GET dir 和 redis-cli CONFIG GET pidfile 找到工作目录和进程ID，确认当前运行的Redis进程是你期望的，并且检查工作目录下的配置文件是否是你修改的那个。
      • 检查系统服务或启动脚本，确保Redis确实是使用你修改的配置文件启动的。
  • 忘记了 Redis 密码怎么办？
    • 解决方案: 这是最常见也最头疼的问题。如果忘记了密码，你无法通过 AUTH 或 CONFIG SET 来获取或修改它。唯一的办法是直接访问Redis服务器的文件系统，找到 redis.conf 文件，编辑它，取消 requirepass 的注释并设置一个新密码，然后重启Redis服务。如果连 redis.conf 也无法访问，或者服务器无法重启，那就非常麻烦了，可能需要更高级的数据恢复手段（如果持久化已开启）。因此，务必妥善保管你的Redis配置文件和密码！
  • 客户端连接池的认证问题
    • 在使用客户端连接池时，通常连接池的配置中会有密码选项。确保连接池配置的密码与Redis服务器的 requirepass 一致。连接池会自动为每个新建立的连接执行认证。

总结与展望

requirepass 命令是Redis提供的一种简单有效的基本认证机制，通过设置密码，可以显著提高Redis实例的安全性，防止未经授权的客户端访问。它是构建安全Redis环境的第一步，也是最容易实现的一步。

然而，我们也看到 requirepass 存在单密码、缺乏细粒度权限控制等局限性。在安全性要求较高的场景，或者需要区分不同用户权限的场景，应该考虑采用Redis 6.0 引入的更强大的ACL（Access Control Lists）功能。

无论你使用 requirepass 还是ACL，都绝不能忽视网络层面的安全防护。配置防火墙，限制只有受信任的IP地址才能访问Redis端口，是保护你的Redis实例的最关键措施之一。结合端口绑定、TLS加密、最小权限运行和危险命令重命名等措施，可以构建一个多层次、更健壮的Redis安全防御体系。

牢记：不要将未受保护的Redis实例暴露在公共网络上。 从设置 requirepass 开始，逐步完善你的Redis安全配置，确保你的数据安全无虞。

希望这篇详细教程能帮助你理解和正确使用Redis的 requirepass 命令，并认识到构建安全Redis环境的全面性。

发表评论

您的邮箱地址不会被公开。 必填项已用 * 标注

滚动至顶部