Redis neden internete açık bırakılmamalı?

Redis tasarım gereği güvenilir bir ağda çalışır ve varsayılan olarak kimlik doğrulaması yoktur. Açık bırakılırsa herkes verilerinizi okuyabilir, silebilir ve yapılandırma komutlarıyla sunucuya zarar verebilir.

requirepass mı ACL mi kullanmalıyım?

Tek uygulama ve basit kurulum için requirepass yeterlidir. Birden çok uygulama veya yetki ayrımı gerekiyorsa ACL kullanıcıları daha güvenli ve yönetilebilirdir.

RDB mi AOF mi daha iyi?

RDB hızlı ve kompakt anlık görüntüler alır ancak son kayıtlar kaybolabilir. AOF daha az veri kaybı sağlar ama dosya daha büyüktür. Kritik veri için ikisini birlikte kullanmak yaygındır.

Redis nasıl kurulur ve nasıl güvene alınır

SunucuGüvenlik

Ara…Ctrl K

Menü

1. Redis'i kurun

Debian/Ubuntu için paket adı redis-server'dır:

bash

sudo apt update
sudo apt install redis-server

AlmaLinux/Rocky 8 ve 9 için paket adı redis'tir. RHEL 10 tabanlı sürümlerde dağıtım Redis yerine uyumlu bir çatal olan Valkey paketini sunar; paket bulunmuyorsa dağıtımınızın belgesine veya resmi Redis paket deposuna bakın:

bash

sudo dnf install redis

2. Yapılandırma dosyasını yedekleyin

Yapılandırma dosyası Debian/Ubuntu ve AlmaLinux/Rocky 9'da /etc/redis/redis.conf, AlmaLinux/Rocky 8'de /etc/redis.conf konumundadır. Emin değilseniz servis tanımındaki yolu systemctl cat redis-server (RHEL'de systemctl cat redis) ile görün.

bash

sudo cp /etc/redis/redis.conf /etc/redis/redis.conf.yedek

3. Dinleme adresini sınırlayın

Redis'i yalnızca yerel arayüzde dinletin. Uygulama aynı sunucudaysa yalnızca 127.0.0.1 yeterlidir. Uzak istemci gerekiyorsa yalnızca özel ağ arayüzünün IP'sini ekleyin; 0.0.0.0 kullanmayın.

conf

bind 127.0.0.1 -::1
protected-mode yes
port 6379

Adresin önündeki -, o adres yoksa hata vermeden geçilmesini sağlar ve Redis 6.2 ile gelmiştir; daha eski sürümlerde bind 127.0.0.1 ::1 yazın. Özel ağ gerekiyorsa örnek: bind 127.0.0.1 10.10.20.5. protected-mode yes, parola ve bind kısıtı yokken dışarıdan gelen bağlantıları reddeden ek bir güvenlik katmanıdır; kapatmayın.

4. Parola veya ACL kullanıcıları tanımlayın

En basit yöntem requirepass ile güçlü bir parola vermektir. Parolayı rastgele üretin:

bash

openssl rand -base64 32

conf

requirepass BURAYA_URETILEN_PAROLA

Redis 6 ve sonrasında ACL ile daha ayrıntılı kontrol mümkündür. Aşağıdaki örnek, yalnızca belirli anahtar önekine erişen ve tehlikeli komut gruplarını kullanamayan bir uygulama kullanıcısı tanımlar. Parolayı > önekiyle yazarsınız.

conf

user default off
user uygulama on >BURAYA_UYGULAMA_PAROLASI ~uyg:* +@all -@dangerous
user yonetici on >BURAYA_YONETICI_PAROLASI ~* +@all

Dikkat: user default off satırı, varsayılan kullanıcıyı kapatır; yönetici kullanıcısını tanımlamadan bunu uygularsanız kendinizi dışarıda bırakabilirsiniz. Bu durumda requirepass satırını kullanmayın (requirepass yalnızca varsayılan kullanıcının parolasını belirler) ve istemcilerde kullanıcı adıyla birlikte kimlik doğrulayın: AUTH yonetici parola. ACL kullanımı hakkında ayrıntılar için Redis resmi belgesindeki ACL bölümüne bakın.

5. Tehlikeli komutları kısıtlayın

FLUSHALL, FLUSHDB, CONFIG, DEBUG, KEYS gibi komutlar yanlış ellerde veri kaybına veya yapılandırma değişikliğine yol açar. ACL kullanıyorsanız -@dangerous ile bunları uygulama kullanıcılarından alın. ACL kullanmıyorsanız eski yöntem olan yeniden adlandırma ile devre dışı bırakabilirsiniz (ACL tercih edilir).

conf

rename-command FLUSHALL ''
rename-command FLUSHDB ''
rename-command DEBUG ''

6. Bellek sınırı ve tahliye politikası

Sınırsız bellek kullanımı sunucuyu çökertebilir. Önbellek amaçlı kullanımda bir sınır ve tahliye politikası belirleyin; kalıcı veri tutuyorsanız noeviction tercih edin.

conf

maxmemory 512mb
maxmemory-policy allkeys-lru

7. Kalıcılık (RDB ve AOF)

Salt önbellek ise kalıcılık gerekmeyebilir. Veri kaybı istemiyorsanız RDB anlık görüntüleri ve/veya AOF günlüğünü açın.

conf

save 900 1
save 300 10
save 60 10000
appendonly yes
appendfsync everysec
dir /var/lib/redis

8. systemd ile başlatın ve etkinleştirin

Debian/Ubuntu'da servis adı redis-server, AlmaLinux/Rocky'de redis'tir.

bash

sudo systemctl restart redis-server
sudo systemctl enable redis-server

bash

sudo systemctl restart redis
sudo systemctl enable redis

Doğrulama

Parolalı bağlantıyı ve parolasız reddedilmeyi test edin. Parolayı -a ile komut satırında vermek kabuk geçmişine ve süreç listesine yansır; bunun yerine bağlandıktan sonra AUTH komutunu, sürümünüz destekliyorsa --askpass seçeneğini veya REDISCLI_AUTH ortam değişkenini kullanın.

bash

redis-cli ping
redis-cli

Parola tanımlıysa parolasız ping komutu NOAUTH Authentication required döndürmelidir. Redis'e girdikten sonra AUTH parola (ACL kullanıyorsanız AUTH kullanici parola) komutuyla kimlik doğrulayıp ping yazdığınızda PONG yanıtını almalısınız. Dinleme adresini sudo ss -tlnp | grep 6379 ile kontrol edin; yalnızca 127.0.0.1, ::1 ve belirttiğiniz özel adres görünmelidir. Bellek ayarı için redis-cli info memory komutuna bakın.

Redis nasıl kurulur ve nasıl güvene alınır

Bu rehberde ne yapacağız?

Gereksinimler

Adım adım Redis kurulumu ve güvenliği

1. Redis'i kurun

2. Yapılandırma dosyasını yedekleyin

3. Dinleme adresini sınırlayın

4. Parola veya ACL kullanıcıları tanımlayın

5. Tehlikeli komutları kısıtlayın

6. Bellek sınırı ve tahliye politikası

7. Kalıcılık (RDB ve AOF)

8. systemd ile başlatın ve etkinleştirin

9. Güvenlik duvarında 6379'u kapalı tutun

Doğrulama

Sık karşılaşılan sorunlar

Güvenlik ve bakım notları

Sık sorulan sorular

İlgili sözlük terimleri

Bu kategorideki diğer rehberler