如何在 Ubuntu 20.04 上安装和保护 Redis

本教程的先前版本由Justin Ellingwood编写

介绍

Redis是一种内存键值存储，以其灵活性、性能和广泛的语言支持而闻名。本教程演示了如何在 Ubuntu 20.04 服务器上安装、配置和保护 Redis。

先决条件

要完成本指南，您需要访问 Ubuntu 20.04 服务器，该服务器具有具有sudo特权的非 root 用户和配置为ufw. 您可以按照我们的 Ubuntu 20.04 初始服务器设置指南进行设置。

第 1 步 – 安装和配置 Redis

我们将使用 APT 包管理器从官方 Ubuntu 存储库安装 redis。在撰写本文时，默认存储库中可用的版本是5.0.7。

首先更新您的本地apt包缓存：

  • sudo apt update

然后输入以下命令安装Redis：

  • sudo apt install redis-server

这将下载并安装 Redis 及其依赖项。在此之后，Redis 配置文件需要进行一项重要的配置更改，该文件是在安装过程中自动生成的。

使用您喜欢的文本编辑器打开此文件：

  • sudo nano /etc/redis/redis.conf

在文件中，找到supervised指令。该指令允许您声明一个 init 系统来将 Redis 作为服务进行管理，从而为您提供对其操作的更多控制。该supervised指令no默认设置为。由于您正在运行使用systemd init 系统的Ubuntu，请将其更改为systemd：

/etc/redis/redis.conf
. . .

# If you run Redis from upstart or systemd, Redis can interact with your
# supervision tree. Options:
#   supervised no      - no supervision interaction
#   supervised upstart - signal upstart by putting Redis into SIGSTOP mode
#   supervised systemd - signal systemd by writing READY=1 to $NOTIFY_SOCKET
#   supervised auto    - detect upstart or systemd method based on
#                        UPSTART_JOB or NOTIFY_SOCKET environment variables
# Note: these supervision methods only signal "process is ready."
#       They do not enable continuous liveness pings back to your supervisor.
supervised systemd

. . .

这是此时您需要对 Redis 配置文件进行的唯一更改，因此请在完成后保存并关闭它。如果您曾经nano编辑过该文件，请按CTRL + X、Y、来进行编辑ENTER。

然后，重新启动 Redis 服务以反映您对配置文件所做的更改：

  • sudo systemctl restart redis.service

这样，您就已经安装并配置了 Redis 并且它正在您的机器上运行。但是，在开始使用它之前，首先检查 Redis 是否正常运行是明智的。

第 2 步 – 测试 Redis

与任何新安装的软件一样，在对其配置进行任何进一步更改之前，确保 Redis 按预期运行是一个好主意。在此步骤中，我们将介绍一些方法来检查 Redis 是否正常工作。

首先检查Redis服务是否正在运行：

  • sudo systemctl status redis

如果它运行没有任何错误，此命令将产生类似于以下内容的输出：

Output
● redis-server.service - Advanced key-value store
     Loaded: loaded (/lib/systemd/system/redis-server.service; enabled; vendor preset: enabled)
     Active: active (running) since Thu 2020-04-30 23:26:54 UTC; 4s ago
       Docs: http://redis.io/documentation,
             man:redis-server(1)
    Process: 36552 ExecStart=/usr/bin/redis-server /etc/redis/redis.conf (code=exited, status=0/SUCCESS)
   Main PID: 36561 (redis-server)
      Tasks: 4 (limit: 2345)
     Memory: 1.8M
     CGroup: /system.slice/redis-server.service
             └─36561 /usr/bin/redis-server 127.0.0.1:6379
. . .

在这里，您可以看到 Redis 正在运行并且已经启用，这意味着它被设置为每次服务器启动时启动。

注意：此设置适用于 Redis 的许多常见用例。但是，如果您更喜欢在每次服务器启动时手动启动 Redis，您可以使用以下命令进行配置：

  • sudo systemctl disable redis

要测试 Redis 是否正常运行，请使用redis-cliRedis 的命令行客户端连接到服务器：

  • redis-cli

在随后的提示中，使用以下ping命令测试连通性：

  • ping

Output
PONG

此输出确认服务器连接仍然有效。接下来，检查您是否能够通过运行来设置密钥：

  • set test "It's working!"

Output
OK

通过键入检索值：

  • get test

假设一切正常，您将能够检索您存储的值：

Output
"It's working!"

确认可以获取值后，退出Redis提示返回shell：

  • exit

作为最后的测试，我们将检查 Redis 是否能够在停止或重新启动后保留数据。为此，首先重新启动 Redis 实例：

  • sudo systemctl restart redis

然后再次连接命令行客户端：

  • redis-cli

并确认您的测试值仍然可用

  • get test

您的密钥的值应该仍然可以访问：

Output
"It's working!"

完成后再次退出 shell：

  • exit

这样，您的 Redis 安装就可以完全运行并可供您使用。但是，它的一些默认配置设置是不安全的，并为恶意行为者提供了攻击和访问您的服务器及其数据的机会。本教程中的其余步骤涵盖了缓解这些漏洞的方法，如Redis 官方网站所述。尽管这些步骤是可选的，如果您选择不遵循它们，Redis 仍然可以运行，但强烈建议您完成它们以加强系统的安全性。

第 3 步 – 绑定到本地主机

默认情况下，Redis 只能从localhost访问。但是，如果您按照与本教程不同的教程安装和配置 Redis，则您可能已更新配置文件以允许来自任何地方的连接。这不像绑定到localhost那样安全。

要更正此问题，请打开 Redis 配置文件进行编辑：

  • sudo nano /etc/redis/redis.conf

找到这一行并确保它没有被注释（#如果存在就删除它）：

/etc/redis/redis.conf
bind 127.0.0.1 ::1

完成后保存并关闭文件（按CTRL + X、Y、ENTER）。

然后，重新启动服务以确保 systemd 读取您的更改：

  • sudo systemctl restart redis

要检查此更改是否已生效，请运行以下netstat命令：

  • sudo netstat -lnp | grep redis

Output
tcp        0      0 127.0.0.1:6379          0.0.0.0:*               LISTEN      14222/redis-server  
tcp6       0      0 ::1:6379                :::*                    LISTEN      14222/redis-server

注意：netstat默认情况下，该命令在您的系统上可能不可用。如果是这种情况，您可以使用以下命令安装它（以及许多其他方便的网络工具）：

  • sudo apt install net-tools

此输出显示redis-server程序绑定到localhost ( 127.0.0.1)，反映您刚刚对配置文件所做的更改。如果您在该列中看到另一个 IP 地址（0.0.0.0例如），那么您应该仔细检查您是否取消了对正确行的注释并再次重新启动 Redis 服务。

既然您的 Redis 安装仅在localhost上侦听，恶意行为者将更难以发出请求或访问您的服务器。但是，Redis 当前并未设置为要求用户在更改其配置或保存的数据之前进行身份验证。为了解决这个问题，Redis 允许您要求用户在通过 Redis 客户端 ( redis-cli)进行更改之前使用密码进行身份验证。

第 4 步 – 配置 Redis 密码

配置 Redis 密码可启用其两个内置安全功能之一 –auth命令，该命令要求客户端进行身份验证才能访问数据库。密码是直接在 Redis 的配置文件中配置的/etc/redis/redis.conf，因此请使用您喜欢的编辑器再次打开该文件：

  • sudo nano /etc/redis/redis.conf

滚动到该SECURITY部分并查找注释指令，内容如下：

/etc/redis/redis.conf
. . .
# requirepass foobared
. . .

通过删除 取消注释#，然后更改foobared为安全密码。

注意：requirepass在redis.conf文件中的指令上方，有一个注释警告：

/etc/redis/redis.conf
. . .
# Warning: since Redis is pretty fast an outside user can try up to
# 150k passwords per second against a good box. This means that you should
# use a very strong password otherwise it will be very easy to break.
#
. . .

因此，指定一个非常强且非常长的值作为密码非常重要。您可以使用该openssl命令生成一个随机密码，而不是自己编造密码，如下例所示。通过将第一个命令的输出通过管道传输到第二个openssl命令，如下所示，它将删除第一个命令产生的任何换行符：

  • openssl rand 60 | openssl base64 -A

您的输出应该类似于：

Output
RBOJ9cCNoGCKhlEBwQLHri1g+atWgn4Xn4HwNUbtzoVxAYxkiYBi7aufl4MILv1nxBqR4L6NNzI0X6cE

复制并粘贴该命令的输出作为 的新值后requirepass，它应为：

/etc/redis/redis.conf
requirepass RBOJ9cCNoGCKhlEBwQLHri1g+atWgn4Xn4HwNUbtzoVxAYxkiYBi7aufl4MILv1nxBqR4L6NNzI0X6cE

设置密码后，保存并关闭文件，然后重启Redis：

  • sudo systemctl restart redis.service

要测试密码是否有效，请打开 Redis 客户端：

  • redis-cli

下面显示了用于测试 Redis 密码是否有效的一系列命令。第一个命令尝试在身份验证之前将密钥设置为一个值：

  • set key1 10

这将不起作用，因为您没有进行身份验证，因此 Redis 返回一个错误：

Output
(error) NOAUTH Authentication required.

下一个命令使用 Redis 配置文件中指定的密码进行身份验证：

  • auth your_redis_password

Redis 承认：

Output
OK

之后，再次运行之前的命令会成功：

  • set key1 10

Output
OK

get key1 查询 Redis 以获取新键的值。

  • get key1

Output
"10"

验证通过后，确认可以在Redis客户端运行命令后，即可退出redis-cli：

  • quit

接下来，我们将研究重命名 Redis 命令，如果错误输入或由恶意行为者输入，可能会对您的机器造成严重损坏。

第 5 步 – 重命名危险命令

Redis 中内置的另一个安全功能涉及重命名或完全禁用某些被认为是危险的命令。

当由未经授权的用户运行时，此类命令可用于重新配置、销毁或以其他方式擦除您的数据。与身份验证密码一样，重命名或禁用命令SECURITY在/etc/redis/redis.conf文件的同一部分中配置。

一些被认为是危险的命令包括：FLUSHDB，FLUSHALL，KEYS，PEXPIRE，DEL，CONFIG，SHUTDOWN，BGREWRITEAOF，BGSAVE，SAVE，SPOP，SREM，RENAME，和DEBUG。这不是一个完整的列表，但重命名或禁用该列表中的所有命令是增强 Redis 服务器安全性的一个很好的起点。

您是否应该禁用或重命名命令取决于您的特定需求或您站点的需求。如果您知道您永远不会使用可能被滥用的命令，那么您可以禁用它。否则，重命名它可能符合您的最佳利益。

要重命名或禁用 Redis 命令，请再次打开配置文件：

  • sudo nano  /etc/redis/redis.conf

警告：以下显示如何禁用和重命名命令的步骤是示例。您应该只选择禁用或重命名对您有意义的命令。您可以自己查看完整的命令列表，并在redis.io/commands确定它们可能会如何被滥用。

要禁用命令，只需将其重命名为空字符串（由一对引号表示，它们之间没有字符），如下所示：

/etc/redis/redis.conf
. . .
# It is also possible to completely kill a command by renaming it into
# an empty string:
#
rename-command FLUSHDB ""
rename-command FLUSHALL ""
rename-command DEBUG ""
. . .

要重命名命令，请为其指定另一个名称，如下例所示。重命名的命令对于其他人来说应该很难猜到，但对你来说很容易记住：

/etc/redis/redis.conf
. . .
# rename-command CONFIG ""
rename-command SHUTDOWN SHUTDOWN_MENOT
rename-command CONFIG ASC12_CONFIG
. . .

保存更改并关闭文件。

重命名命令后，通过重新启动 Redis 来应用更改：

  • sudo systemctl restart redis.service

要测试新命令，请输入 Redis 命令行：

  • redis-cli

然后，验证：

  • auth your_redis_password

Output
OK

假设您将CONFIG命令重命名为ASC12_CONFIG，如前面的示例所示。首先，尝试使用原始CONFIG命令。它应该失败，因为你已经重命名了它：

  • config get requirepass

Output
(error) ERR unknown command `config`, with args beginning with:

但是，调用重命名的命令会成功。它不区分大小写：

  • asc12_config get requirepass

Output
1) "requirepass"
2) "your_redis_password"

最后，您可以退出redis-cli：

  • exit

请注意，如果您已经在使用 Redis 命令行，然后重新启动 Redis，则需要重新进行身份验证。否则，如果您键入命令，您将收到此错误：

Output
NOAUTH Authentication required.


关于重命名命令的做法，本SECURITY节末尾有一个警告声明，/etc/redis/redis.conf其中写道：

/etc/redis/redis.conf
. . .
# Please note that changing the name of commands that are logged into the
# AOF file or transmitted to replicas may cause problems.
. . .

注意： Redis 项目选择使用术语“master”和“slave”，而 DigitalOcean 通常更喜欢“primary”和“secondary”这两个选项。为了避免混淆，我们选择在此处使用 Redis 文档中使用的术语。

这意味着如果重命名的命令不在AOF文件中，或者如果AOF文件没有传输到从属，那么应该没有问题。

因此，当您尝试重命名命令时，请记住这一点。重命名命令的最佳时间是当您没有使用 AOF 持久性时，或者在安装之后，即在部署使用 Redis 的应用程序之前。

当您使用 AOF 并处理主从安装时，请考虑项目的 GitHub 问题页面中的此答案。以下是对作者问题的回复：

命令记录到 AOF 并以与发送它们相同的方式复制到从属设备，因此如果您尝试在没有相同重命名的实例上重放 AOF，您可能会面临不一致，因为命令无法执行（奴隶也一样）。

因此，在这种情况下处理重命名的最佳方法是确保重命名的命令应用于主从安装中的所有实例。

结论

在本教程中，您安装并配置了 Redis，验证了 Redis 安装是否正常运行，并使用其内置安全功能使其不易受到恶意行为者的攻击。

请记住，一旦有人登录到您的服务器，就很容易绕过我们已实施的特定于 Redis 的安全功能。因此，Redis 服务器上最重要的安全功能是防火墙（如果您按照先决条件初始服务器设置教程进行配置），因为这使得恶意行为者极难跳过该围栏。

觉得文章有用？

点个广告表达一下你的爱意吧 ！😁