Debian 上 Redis 的安全加固清单

一 网络与访问控制

• 将服务仅绑定在内网接口，避免暴露在公网；如确需远程，先完成认证与加密再开放最小端口集合。示例：bind 内网 IP，或仅本地 127.0.0.1。
• 开启 protected-mode yes，当未设置 bind 或未启用密码时，拒绝外部访问（仅本地回环例外）。
• 使用 UFW/iptables 限制来源 IP 与端口，例如仅允许应用服务器网段访问 6379/tcp。
• 如跨公网或不可信网络，启用 TLS/SSL 加密传输，配置 tls-port、tls-cert-file、tls-key-file、tls-ca-cert-file。
• 避免使用默认端口 6379，改为非标准端口能降低自动化扫描命中率。
• 在云环境（如 VPC/安全组）中实施网络分段，仅放通受控来源。
  以上措施能显著降低暴露面与未授权访问风险。

二 身份与命令权限

• 设置强口令：在 /etc/redis/redis.conf 中配置 requirepass <强密码>；连接测试用 redis-cli -a <密码>。
• 禁用或重命名高危命令：如 FLUSHALL、FLUSHDB、CONFIG、SHUTDOWN，生产建议重命名为随机字符串或禁用。
• 使用 ACL（Redis ≥ 6.0） 做最小权限划分，例如只读用户与写入用户分离，限制危险命令（含脚本相关）。
• 若短期内无法升级修复 Lua 相关漏洞，可通过 ACL 禁止 EVAL/EVALSHA/FUNCTION 的执行，降低攻击面。
  这些措施可防止滥用与误操作，并缩小被攻陷后的影响范围。

三 及时打补丁与版本基线

• 立即升级修复 CVE-2025-49844（CVSS 10.0） 等 Lua 引擎漏洞；受影响与修复版本基线如下：

  版本范围	修复版本
  < 6.2.20	≥ 6.2.20
  7.0 ≤ 版本 < 7.2.11	≥ 7.2.11
  7.4.0 ≤ 版本 < 7.4.6	≥ 7.4.6
  8.0.0 ≤ 版本 < 8.0.4	≥ 8.0.4
  8.2.0 ≤ 版本 < 8.2.2	≥ 8.2.2

• Debian 渠道可能滞后，建议优先采用官方源码/包升级至上述修复版本，或等待发行版安全更新；升级后重启并回归验证。
• 建立常态化的补丁与变更管理流程，减少暴露窗口。

四 运行时与数据安全

• 启用持久化并定期备份：开启 appendonly yes 与合理的 save 策略，定期离线备份 RDB/AOF 到受控存储；必要时执行 BGREWRITEAOF 瘦身。
• 限制内存与淘汰策略：设置 maxmemory（如不超过物理内存的 70%）与 maxmemory-policy allkeys-lru，防止 OOM 与性能劣化。
• 连接与资源治理：设置 maxclients、合理的 timeout/tcp-keepalive，并对 client-output-buffer-limit 做上限约束，避免慢客户端拖垮服务。
• 日志与监控：使用 logfile/日志级别 记录关键事件，配合 slowlog 与监控系统（如 redis_exporter + Prometheus）建立告警基线。
  这些实践可提升数据可靠性、可观测性与稳定性。

五 快速加固命令示例

• 安装与自启
  sudo apt update && sudo apt install -y redis-server
  sudo systemctl enable --now redis-server
• 编辑配置（/etc/redis/redis.conf）
  bind 127.0.0.1 10.0.0.10
  port 6380
  protected-mode yes
  requirepass YourStrongPass!2025
  rename-command FLUSHALL “”
  rename-command CONFIG “”
  rename-command SHUTDOWN “SHUTDOWN_MYREDIS”

  可选：TLS

  tls-port 6379

  tls-cert-file /path/to/cert.pem

  tls-key-file /path/to/key.pem

  tls-ca-cert-file /path/to/ca.crt

• 防火墙（UFW）
  sudo ufw allow from 10.0.0.0/24 to any port 6380 proto tcp
  sudo ufw enable
• ACL 最小权限（示例）
  ACL SETUSER reader on >reader123 allkeys +get +scan +ping
  ACL SETUSER writer on >writer123 allkeys +set +get +del
• 重启与验证
  sudo systemctl restart redis-server
  redis-cli -h 127.0.0.1 -p 6380 -a YourStrongPass!2025 ping
  以上命令覆盖网络、认证、命令与端口等核心加固点，可直接用于生产前的基线整改。