如何安全部署Redis Sentinel？求安全最佳实践与资源推荐

一、实现非root用户运行Redis Sentinel #

以root运行Sentinel确实存在权限过大的安全风险，可按以下步骤创建专用受限用户运行：

• 创建系统专用用户（无登录权限）：

  useradd -r -s /sbin/nologin redis-sentinel
  

  -r标记为系统用户，/sbin/nologin禁止交互式登录，降低权限泄漏风险。
• 调整目录与文件权限：
  将Sentinel的数据存储目录、配置文件的所有权改为该用户，并设置严格权限：

  chown -R redis-sentinel:redis-sentinel /var/lib/redis-sentinel /etc/redis/sentinel.conf
  chmod 700 /var/lib/redis-sentinel  # 仅所有者可读可写可执行
  chmod 600 /etc/redis/sentinel.conf # 仅所有者可读可写
  

• 指定用户启动：
  • 若用systemd管理，在redis-sentinel.service文件中添加：

    User=redis-sentinel
    Group=redis-sentinel
    

  • 直接启动时切换用户执行：

    su -s /bin/sh -c "redis-sentinel /etc/redis/sentinel.conf" redis-sentinel
    

二、Redis Sentinel安全最佳实践 #

1. 限制网络访问 #

• 在sentinel.conf中绑定特定IP，仅允许内部可信网络访问：

  bind 127.0.0.1 192.168.1.100  # 替换为你的Sentinel节点私有IP
  

  避免使用bind 0.0.0.0开放所有网络接口。
• 用防火墙限制26379端口（Sentinel默认端口）的访问范围，仅允许Redis集群节点和授权监控主机连接：

  iptables -A INPUT -p tcp --dport 26379 -s 192.168.1.0/24 -j ACCEPT
  iptables -A INPUT -p tcp --dport 26379 -j DROP
  

2. 启用密码认证 #

• 设置Sentinel节点间通信密码：

  requirepass StrongSentinelPass123!
  

• 设置连接Redis主节点的认证密码（需与Redis主节点的requirepass一致）：

  masterauth StrongRedisPass456!
  

  确保只有授权节点能参与集群监控与故障转移。

3. 加密数据传输 #

跨网络部署时启用TLS加密，防止数据窃听：

tls-port 26379
tls-cert-file /etc/redis/tls/sentinel.crt
tls-key-file /etc/redis/tls/sentinel.key
tls-ca-cert-file /etc/redis/tls/ca.crt
tls-auth-clients yes  # 强制客户端使用TLS并验证证书

4. 禁用敏感命令 #

重命名或禁用Sentinel中的危险命令，防止未授权修改配置：

rename-command CONFIG ""  # 禁用CONFIG命令

5. 强化日志与监控 #

• 开启详细日志并指定日志文件：

  logfile /var/log/redis/sentinel.log
  

• 定期审计日志，结合系统工具（如journalctl）监控Sentinel运行状态，及时发现异常连接或操作。

6. 定期更新与漏洞修复 #

及时升级Redis Sentinel到最新稳定版本，修复已知安全漏洞，避免被利用。

三、参考资源 #

• Redis官方Sentinel文档：重点研读安全配置章节，了解所有参数的作用与最佳配置方式。
• Linux系统安全手册：学习用户权限管理、防火墙规则配置、systemd服务安全加固的基础知识，从主机层面提升防护能力。
• Redis内置监控工具：使用redis-cli -p 26379 info stats查看连接统计、故障转移记录等指标，辅助安全审计。

内容的提问来源于stack exchange，提问作者Mike Micky