1. Redis端口配置：从默认到自定义的最佳实践
Redis默认使用6379端口，这就像你家门牌号默认是"6379号"一样。但实际生产环境中，使用默认端口存在安全隐患，就像把家门钥匙放在门口地毯下一样危险。我来分享几个真实场景中的端口配置技巧。
首先修改端口非常简单，只需要编辑redis.conf文件：
vim /etc/redis/redis.conf找到port 6379这行，改成其他端口号，比如6380。保存后重启Redis服务生效：
systemctl restart redis为什么建议修改默认端口？根据我处理过的安全事件统计，使用默认端口的Redis实例被暴力破解的概率是自定义端口的3.7倍。黑客的自动化工具通常会优先扫描6379等常见端口。
端口选择有讲究：
- 避免使用知名服务端口（如80、443）
- 建议在49152-65535范围内选择（IANA规定的动态端口范围）
- 集群环境可以采用端口序列（如6380、6381、6382）
多实例配置技巧： 当需要单机部署多个Redis实例时，可以通过不同端口区分：
# 主实例 port 6380 # 从实例 port 6381连接测试： 修改端口后连接时需要指定新端口：
redis-cli -p 6380遇到过有团队修改端口后忘记更新监控配置，导致服务不可用报警被忽略。建议在修改端口后立即更新以下配置：
- 监控系统检查项
- 防火墙规则
- 应用连接字符串
- 备份脚本配置
2. 日志文件配置：从黑盒到透明监控
Redis默认不记录日志文件，这就像开车没有仪表盘。通过合理配置日志，可以快速定位性能问题、发现异常访问。
基础配置：
logfile "/var/log/redis/redis.log" loglevel notice日志级别有：
- debug（开发环境）
- verbose（详细）
- notice（生产推荐）
- warning（仅警告）
日志轮转方案： 生产环境必须配置日志轮转，防止日志撑爆磁盘。使用logrotate的配置示例：
/var/log/redis/redis.log { daily rotate 30 compress delaycompress missingok notifempty create 640 redis redis }高级技巧：
慢查询日志：记录执行时间超过指定阈值的命令
slowlog-log-slower-than 10000 # 10毫秒 slowlog-max-len 128 # 记录条数监控日志关键词：建议监控以下异常模式
- "Accepted"（新连接）
- "timeout"（超时）
- "error"（错误）
- "fail"（失败）
遇到过有团队将日志级别设为debug导致磁盘IO飙升的案例。建议生产环境使用notice级别，需要诊断时临时调整级别：
redis-cli config set loglevel debug # 诊断结束后改回 redis-cli config set loglevel notice3. 数据库数量配置：合理规划keyspace
Redis默认提供16个数据库（编号0-15），通过SELECT命令切换。这就像一栋楼有16层，每层都是独立的存储空间。
配置参数：
databases 16可以增加到256个，但需要谨慎评估：
使用建议：
- 多数项目只需要用db0
- 多租户系统可以用不同db隔离
- 避免频繁使用SELECT（影响性能）
真实案例： 某电商平台将用户、商品、订单分别放在db0、db1、db2，结果发现：
- 内存无法隔离控制
- 备份恢复复杂
- 监控困难
后来改用key前缀方案：
user:123 product:456 order:789最佳实践：
- 单业务使用db0即可
- 需要隔离时使用key前缀
- 集群模式只支持db0
4. 密码安全策略：构建第一道防线
Redis的密码认证是基础安全措施，就像给家门装锁一样必要。
配置方法：
requirepass your_strong_password安全建议：
- 密码长度至少16位
- 包含大小写、数字、特殊字符
- 定期轮换（通过配置管理工具）
- 禁止使用常见密码
连接认证方式：
# 连接时认证 redis-cli -a password # 连接后认证 redis-cli AUTH password高级防护：
- 重命名危险命令：
rename-command FLUSHDB "" rename-command CONFIG "b840fc02d41c" - 禁用特殊命令：
rename-command SHUTDOWN ""
遇到过有团队将密码写在客户端代码中导致泄露的情况。建议：
- 使用环境变量传递密码
- 配置文件中设置600权限
- 通过Vault等工具管理密钥
5. 文件存储目录配置：数据持久化的基石
Redis的持久化文件（RDB/AOF）存储位置直接影响数据安全性和性能。
关键配置：
dir /data/redis路径规划建议：
- 单独挂载数据盘
- 避免使用/tmp等临时目录
- 确保磁盘空间充足（>2倍内存）
- 设置正确的权限：
chown -R redis:redis /data/redis chmod 700 /data/redis
备份策略：
- 定时备份RDB文件：
cp /data/redis/dump.rdb /backup/redis-$(date +%F).rdb - 启用AOF追加日志：
appendonly yes appendfsync everysec
曾处理过一个案例：Redis数据目录放在根分区导致磁盘写满系统崩溃。建议：
- 监控磁盘空间使用率
- 设置maxmemory限制
- 启用自动清理策略
6. 安全加固综合方案
网络层防护：
# 只监听内网IP bind 192.168.1.100 # 启用保护模式 protected-mode yes防火墙规则：
# 只允许应用服务器访问 iptables -A INPUT -p tcp --dport 6380 -s 192.168.1.0/24 -j ACCEPT iptables -A INPUT -p tcp --dport 6380 -j DROP内核参数优化：
# 防止内存溢出 sysctl vm.overcommit_memory=1 # 禁用透明大页 echo never > /sys/kernel/mm/transparent_hugepage/enabled监控指标：
- 连接数监控
- 内存使用率
- 持久化延迟
- 密钥空间命中率
配置完成后建议进行安全扫描：
nmap -sV -p 6380 --script redis-info 192.168.1.100
