Ubuntu 上 Redis 配置的最佳实践
一 安全加固
- 绑定与网络最小化：默认仅监听 127.0.0.1，如需远程访问再按需放开，优先采用白名单方式；如确需全网监听，务必叠加防火墙与访问控制。远程开放时，仅开放必要端口（默认 6379），并建议使用非默认端口以降低噪音攻击面。示例 UFW 规则：sudo ufw allow from 192.168.1.0/24 to any port 6379。避免使用 bind 0.0.0.0 的“全开放”做法，除非已具备严格的网络与主机防护。Redis 设计用于受信任环境，直接暴露公网存在显著风险。
- 强认证与命令防护：启用 requirepass <强密码>；对危险命令进行重命名或禁用（如 rename-command CONFIG “”、rename-command SHUTDOWN SHUTDOWN_MENOT），降低被滥用风险。
- 以 systemd 管理并最小权限运行：设置 supervised systemd，由 systemd 接管就绪通知与生命周期；服务以 redis 系统用户运行，数据目录（如 /var/lib/redis）属主属组设置为 redis:redis，仅授予必要权限，避免使用 777 等过度授权。
二 持久化与高可用
- 持久化策略选型：RDB 快照适合容忍一定数据丢失、追求恢复速度与备份的场景；AOF 提供更高数据安全性。可按需组合使用。示例 RDB 策略：save 900 1、save 300 10、save 60 10000；AOF 启用：appendonly yes，同步策略推荐 appendfsync everysec 以平衡性能与安全。
- 备份与验证：定期在副本或离线环境验证 RDB/AOF 可恢复性；变更持久化参数后，先备份 /etc/redis/redis.conf 与数据目录，再滚动重启并观察日志。
- 高可用与扩展：单机存在单点风险，生产环境建议引入 Redis 集群/主从复制 + 哨兵 实现故障自动切换与读写分离；大规模与高并发场景优先考虑集群分片。
三 内存与性能调优
- 内存上限与淘汰策略：设置 maxmemory <容量>（如物理内存的 60%–75%，视业务而定），并选择合适的淘汰策略（如 allkeys-lru、volatile-lru 等）避免 OOM。
- 客户端与超时：启用 timeout <秒> 回收空闲连接；客户端使用连接池复用连接，减少握手开销。
- 持久化与 I/O：AOF 使用 everysec 在大多数场景下可满足持久性与性能的平衡；RDB 快照频率与业务写入强度匹配，避免频繁快照带来抖动。
- 网络与硬件：仅开放必要端口，减少攻击面；优先使用 SSD 提升 AOF/RDB 的磁盘 I/O 表现；必要时进行内核/网络栈调优与客户端就近部署。
四 运维与可观测性
- 服务管理：使用 systemd 管理 Redis，确保 开机自启（sudo systemctl enable redis）、可快速拉起与平滑重启；变更配置后执行 sudo systemctl restart redis 并观察状态与日志。
- 日志与监控：关注 /var/log/redis/redis-server.log 的错误与告警；通过 redis-cli --stat、INFO 命令或接入 Prometheus + Grafana 进行指标可视化与阈值告警。
- 基线测试与容量规划：上线前用 redis-benchmark 做基线压测（如 redis-benchmark -h localhost -p 6379 -n 100000 -c 10），结合监控数据迭代内存、连接与持久化参数。
五 推荐的 Ubuntu 配置片段
# /etc/redis/redis.conf 关键项（按需调整）
bind 127.0.0.1 # 远程访问改为内网白名单或维持本地
port 6379 # 可改为非默认端口
supervised systemd # 适配 Ubuntu systemd
daemonize yes # 以守护进程运行
requirepass YourStrongPasswordHere
rename-command CONFIG ""
rename-command SHUTDOWN SHUTDOWN_MENOT
save 900 1
save 300 10
save 60 10000
appendonly yes
appendfsync everysec
maxmemory 4gb
maxmemory-policy allkeys-lru
timeout 300
dir /var/lib/redis
dbfilename dump.rdb
logfile /var/log/redis/redis-server.log
- 变更后执行：sudo systemctl restart redis；验证：sudo systemctl status redis 与 redis-cli ping。