phpredis连接开启TLS/SSL的AWS ElastiCache Redis集群报错如何解决

这个报错的核心原因是phpredis的RedisCluster类默认仅对传入的种子节点使用你指定的TLS协议，自动发现的其他集群节点会默认用普通TCP协议连接，而开启了TLS的ElastiCache集群会拒绝普通TCP连接，导致无法拉取完整的集群keyspace映射。

第一步：升级phpredis扩展（必要前置） #

请先确认你的phpredis扩展版本≥5.3.0，该版本才正式支持集群全局TLS策略配置，低于该版本可先升级扩展，或参考后续兼容方案。

第二步：修改连接代码 #

调整构造函数传入SSL上下文，同时配置全局TLS连接策略，示例代码如下：

$this->redis = new RedisCluster(
    null,
    // 种子节点可以省略tls://前缀，后续全局策略会统一适配
    Array('url1.10j6zb.aps1.cache.amazonaws.com:6379','url2.10j6zb.aps1.cache.amazonaws.com:6379'),
    2, // 连接超时时间，单位秒，可按需调整
    2, // 读超时时间，单位秒，可按需调整
    false, // 是否开启持久化连接
    null, // 如果你的集群设置了AUTH密码，在此处传入密码字符串
    [
        'ssl' => [
            // AWS ElastiCache的TLS证书默认由EC2内置信任的CA签发，生产环境建议保留证书验证
            // 若出现证书验证报错，可临时取消下方两行注释排查问题
            // 'verify_peer' => false,
            // 'verify_peer_name' => false,
        ]
    ]
);

// 核心配置：强制所有集群节点（包括自动发现的节点）使用TLS连接
$this->redis->setOption(RedisCluster::OPT_TLS_POLICY, RedisCluster::TLS_POLICY_ALWAYS);

低版本phpredis兼容方案 #

如果无法升级到5.3.0及以上版本的phpredis，可以用节点前缀配置实现相同效果：

$this->redis = new RedisCluster(
    null,
    Array('tls://url1.10j6zb.aps1.cache.amazonaws.com:6379','tls://url2.10j6zb.aps1.cache.amazonaws.com:6379'),
    2,
    2,
    false,
    null,
    [
        'ssl' => [
            // 证书配置同上
        ]
    ]
);

// 为所有自动发现的节点统一添加tls://前缀
$this->redis->setOption(RedisCluster::OPT_NODE_PREFIX, 'tls://');

可选排查项 #

如果修改后仍有报错，可逐一确认以下配置：

• ElastiCache集群的安全组已放开EC2实例所在安全组的6379端口入站权限
• ElastiCache集群状态为available，且传输中加密配置已成功开启
• EC2实例未手动删除系统内置的AWS根证书，信任列表正常

内容的提问来源于stack exchange，提问作者Rajdeep D