Django项目本地如何通过VPN连接AWS ElastiCache Redis？

常见原因及对应解决方案 #

1. ElastiCache Redis实例安全组配置错误 #

这是最高发的问题：

• 检查Redis实例绑定的安全组入站规则，确认已允许VPN客户端的IP段（AWS VPN分配给本地设备的地址池）访问6379端口
• 安全组源地址不能仅填写VPC内网段，需额外添加VPN客户端地址池，协议选择TCP，端口范围填6379

2. 路由配置异常 #

• 检查AWS VPN客户端端点关联的路由表，确认存在指向ElastiCache Redis所在VPC子网的路由条目
• 确认本地设备路由表中，Redis所在VPC网段的流量在VPN连接后会走VPN隧道，可在本地cmd执行tracert xyz.0001.use2.cache.amazonaws.com查看路由跳转路径是否进入AWS内网

3. ElastiCache实例访问配置问题 #

• 确认ElastiCache Redis实例未开启保护模式，如果已开启需要补充密码验证或绑定允许访问的IP段
• 确认实例创建时未勾选仅本地主机访问的特殊限制选项
• 如果Redis实例开启了传输加密（TLS），需要修改连接配置补充SSL参数，Django配置修改参考如下：

CACHES = {
    'default': {
        'BACKEND': 'django_redis.cache.RedisCache',
        'LOCATION': 'rediss://xyz.0001.use2.cache.amazonaws.com:6379', # 协议头为rediss而非redis，代表走SSL连接
        'OPTIONS': {
            'CLIENT_CLASS': 'django_redis.client.DefaultClient',
            'CONNECTION_POOL_KWARGS': {'ssl_cert_reqs': None} # 无需验证证书时添加该配置
        }
    }
}

对应的redis-cli命令也需要补充--tls参数：
redis-cli -h magicstat-redis.ysw0xy.0001.use2.cache.amazonaws.com -p 6379 --tls ping

4. DNS解析错误 #

• 连接VPN后，确认本地解析Redis域名得到的是AWS VPC内网IP而非公网IP，可在本地cmd执行nslookup xyz.0001.use2.cache.amazonaws.com验证。如果解析结果为公网IP，需要修改VPN的DNS配置，将AWS VPC的DNS服务器（一般为VPC网段+2的地址，例如VPC为10.0.0.0/16时DNS地址为10.0.0.2）设为VPN连接的首选DNS服务器。

5. 子网网络ACL限制 #

• 检查ElastiCache Redis所在子网的网络ACL入站、出站规则，确认允许VPN网段的6379端口流量通过。网络ACL为无状态规则，需要同时配置入站和出站的允许条目。

排查顺序建议 #

优先执行nslookup确认域名解析正确，再用tracert确认流量路由走VPN隧道，之后检查安全组和网络ACL配置，最后验证Redis实例的加密、访问限制配置。

内容的提问来源于stack exchange，提问作者user3288051