Redis ssl

生成根 CA 证书

openssl genrsa -out ca.key 4096
openssl req -x509 -new -nodes -sha256 -key ca.key -days 3650 -subj '/C=CN/ST=Beijing/L=Beijing/O=Arukas IO/OU=Redis Server/CN=redis.vim.io' -out ca.crt

生成服务端证书

openssl genrsa -out redis.key 4096

-- 签发申请
openssl req -new -sha256 -key redis.key -subj '/C=CN/ST=Beijing/L=Beijing/O=Arukas IO/OU=Redis Server/CN=redis.vim.io' -addext "subjectAltName = IP:127.0.0.1" -out server.csr

openssl x509 -req -sha256 -in server.csr -CA ca.crt -CAkey ca.key -CAserial ca.txt -CAcreateserial -days 3650 -extfile <(printf "subjectAltName=IP:127.0.0.1") -out redis.crt

#查看证书
openssl x509 -in redis.crt -text -noout

生成客户端证书

openssl genrsa -out client.key 4096

-- 签发申请
openssl req -new -key client.key -out client.csr

openssl x509 -req -days 3650 -in client.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out client.crt

其它

openssl dhparam -out redis.dh 2048

字段缩写	全称	描述	示例值	是否必需
/C=	Country Name	国家代码（ISO 3166）	/C=CN（中国）	可选
/ST=	State or Province Name	州/省名称	/ST=Beijing	可选
/L=	Locality Name	城市名称	/L=Beijing	可选
/O=	Organization Name	组织/公司名称	/O=Example Inc.	推荐
/OU=	Organizational Unit Name	组织部门名称	/OU=IT Department	可选
/CN=	Common Name	关键标识	/CN=www.example.com	必需
/emailAddress=	Email Address	联系邮箱	/emailAddress=admin@example.com	可选

不验证客户端证书的配置方式1

客户端可以不传自己的证书，只传CA证书（用于验证服务端）。

redis-cli --tls --cacert ca.crt

port 0

#启用 TLS 的监听端口
tls-port 6379

#服务端证书路径
tls-cert-file redis.crt
#服务端私钥路径
tls-key-file redis.key

#根 CA 证书路径，用于验证客户端证书
tls-ca-cert-file ca.crt
tls-auth-clients no

不验证客户端证书的配置方式2

客户端证书可以不传，可以建立连接

redis-cli --tls --cacert ca.crt
或
redis-cli --tls --cacert ca.crt --cert redis.crt --key redis.key

port 0
tls-port 6379

tls-cert-file redis.crt
tls-key-file redis.key

tls-ca-cert-file ca.crt
tls-auth-clients optional

验证客户端的方式

redis-cli --tls --cacert ca.crt --cert redis.crt --key redis.key

port 0
tls-port 6379

tls-cert-file redis.crt
tls-key-file redis.key

tls-ca-cert-file ca.crt
tls-dh-params-file redis.dh

#启用客户端证书验证（双向认证关键项）
tls-auth-clients yes
tls-replication yes

#指定tls-replication yes才能将TLS用于到主服务器的对外连接，sentinel也需要同步设置。
#tls-cluster yes

# 用哪个都可以作为 truststore.jks
keytool -import -alias redis -file redis.crt -keystore truststore_redis.jks -storepass 123456 -noprompt
keytool -import -alias redis -file ca.crt  -keystore truststore.jks -storepass 123456 -noprompt

直接导入 jdk 中

-- 需要将服务的的证书导入到jdk的认证证书
keytool -import -alias redis-ca -file redis.crt -keystore %JAVA_HOME%/lib/security/cacerts -storepass 123456 -noprompt

keytool -delete -alias redis-ca -file redis.crt -keystore %JAVA_HOME%/lib/security/cacerts -storepass 123456 -noprompt

## 查看导入的证书
keytool -list -keystore %JAVA_HOME%/lib/security/cacerts

赏

谢谢你请我吃糖果

支付宝

微信