Redis 7.0.10 TLS配置启动失败及TLS有效性验证咨询

场景说明 #

我已更新Redis配置文件如下：

#tls-port 6379
#port 0
tls-cert-file /tmp/redis.crt
tls-key-file /tmp/redis.key
tls-ca-cert-file /tmp/ca.crt

上述证书通过OpenSSL工具生成，启动命令：

redis-server /tmp/redis.conf

Q1：Redis 7.0.10启用tls-port和port参数后无法启动的原因 #

Redis 7.0.x版本中，同时配置非0的port和tls-port时，启动失败通常由以下原因导致：

• 端口冲突：两个端口（普通TCP端口和TLS端口）重复，或其中一个已被系统其他进程占用。
• 证书问题：证书文件（tls-cert-file、tls-key-file）无效、权限不足（Redis进程无读取权限），或CA证书（tls-ca-cert-file）验证失败。
• 配置逻辑限制：Redis默认会尝试同时监听普通端口和TLS端口，但如果未正确配置证书链，启动时会触发安全校验失败。

如果仅需启用TLS端口，建议将port设为0（注释或修改为port 0）；若要同时启用两个端口，需确保端口不重复、证书文件有效且权限正确，同时查看Redis启动日志（控制台或指定日志文件）获取具体错误信息，定位问题。

Q2：验证Redis TLS/SSL配置是否生效的方法 #

1. 用redis-cli的TLS选项测试连接 #

执行以下命令（根据是否需要客户端证书调整参数）：

# 需要客户端证书验证
redis-cli --tls --cert /tmp/redis.crt --key /tmp/redis.key --cacert /tmp/ca.crt -p 6379

# 仅验证服务端证书
redis-cli --tls --cacert /tmp/ca.crt -p 6379

成功进入交互界面后执行PING，返回PONG则说明TLS连接正常。

2. 检查启动日志 #

查看Redis启动日志，若出现类似以下内容，证明TLS端口已成功监听：

Server initialized
Ready to accept connections at [::]:6379 (tls)

3. 用openssl s_client测试TLS握手 #

执行命令查看握手和证书验证情况：

openssl s_client -connect localhost:6379 -CAfile /tmp/ca.crt

输出中包含Verify return code: 0 (ok)，说明TLS配置生效。

4. 查看运行时配置 #

连接Redis后执行以下命令确认配置：

CONFIG GET tls-port
CONFIG GET port
CONFIG GET tls-cert-file

返回结果与配置文件一致则说明配置已加载。

内容的提问来源于stack exchange，提问作者xxestter