使用Go-Redis V9连接Redis集群时mTLS握手失败求助

问题概况 #

• Redis服务器版本：6.2.6
• 异常现象：redis-cli及Python客户端搭配mTLS证书可正常连接Redis集群，但使用Golang的github.com/go-redis/redis/v9客户端连接时失败，报错：

  remote error: tls: unknown certificate authority

• 服务器采用自签名证书，根证书文件包含完整证书链

代码问题排查与修复方案 #

1. 确认根证书是否成功添加到证书池 #

你的代码中调用rootCAs.AppendCertsFromPEM(rootcacert)时未检查返回值，无法确认证书是否被正确解析并添加。修改代码，增加校验逻辑：

rootcacert, err := ioutil.ReadFile("/etc/secret/resolver-redis-ca-cert")
if err != nil {
    return nil, err
}
// 新增：检查证书是否成功添加
if !rootCAs.AppendCertsFromPEM(rootcacert) {
    return nil, fmt.Errorf("failed to load root CA certificate from PEM")
}

2. 避免依赖系统证书池（可选） #

部分环境（如容器）中x509.SystemCertPool()可能返回空或不可用，直接新建证书池而非依赖系统池，避免潜在干扰：

// 替换原有的系统证书池加载逻辑，直接新建
rootCAs := x509.NewCertPool()
// 然后加载根证书
if !rootCAs.AppendCertsFromPEM(rootcacert) {
    return nil, fmt.Errorf("failed to parse root CA certificate")
}

3. 指定TLS ServerName（关键排查点） #

如果Redis节点证书的CN或SAN字段与你配置的Addrs中的主机名/IP不一致，Golang TLS握手会验证失败。需在TLSConfig中指定证书对应的ServerName：

redisOpts := redis.ClusterOptions{
    Addrs: rediscluster.Addrs,
    TLSConfig: &tls.Config{
        RootCAs:      rootCAs,
        Certificates: []tls.Certificate{clientKeyPair},
        ServerName:   "redis-cluster-node", // 替换为证书中实际的CN或SAN值
    },
    Password: redisClusterPassword["resolver-redis-cluster-password"],
}

4. 验证证书文件完整性 #

确保以下文件格式正确、内容完整：

• /etc/secret/resolver-redis-ca-cert：包含完整的自签名根证书链（PEM格式，无多余空白或损坏字符）
• /etc/secret/resolver-redis-client-cert和/etc/secret/resolver-redis-client-key：客户端证书与密钥配对正确，无格式错误

5. 测试连接有效性 #

在返回客户端后，添加简单的Ping测试，确认连接是否正常：

rdb := redis.NewClusterClient(&redisOpts)
// 新增Ping测试，立即验证连接状态
if err := rdb.Ping(context.Background()).Err(); err != nil {
    return nil, err
}
return rdb, nil

内容的提问来源于stack exchange，提问作者Nitesh Bv