当前位置：首页 > 问答 > 正文

想知道怎么关闭Redis防火墙？这里有些安全小建议你得看看

盈壮
问答
2026-01-10 07:00:59
4

我们来谈谈“关闭Redis防火墙”这个说法，Redis本身并没有一个叫做“防火墙”的独立功能，我们通常所说的“Redis防火墙”指的是操作系统层面（比如Linux的iptables或firewalld）对Redis服务端口（默认是6379）的访问控制规则，或者是Redis 6.0及以上版本引入的“访问控制列表”功能，它能够更精细地控制谁可以连接和执行什么命令，当你想“关闭防火墙”时，可能指的是以下几种情况，但每一种都伴随着巨大的安全风险，我必须先给你最强烈的警告。

重要警告：直接暴露Redis服务极其危险！

在告诉你方法之前,你必须明白一个事实：在互联网上，有无数自动化的机器人一直在扫描开放的Redis端口，如果你的Redis服务没有受到任何保护就直接暴露在网络上，攻击者可以在几分钟内发现它，并轻易实现以下攻击：

数据删除：攻击者可以执行FLUSHALL命令，清空你数据库中的所有数据。
数据窃取：攻击者可以读取你Redis中的所有敏感信息，比如用户会话、缓存的管理员账号等。
勒索软件：攻击者可以将你的数据备份到一个他们控制的服务器上，然后删除你本地的数据，对你进行勒索。
挖矿木马：攻击者甚至可以利用你的服务器资源来挖掘加密货币，导致你的服务器CPU飙升至100%。

除非你是在一个绝对可信的、与外部网络完全隔离的环境中进行测试（比如本机开发），否则强烈不建议你完全关闭对Redis的访问限制，更明智的做法是“配置”防火墙和Redis自身的安全设置，而不是“关闭”它们。

下面,我们分情况说明如何解除这些限制，但请务必结合后面的安全建议来操作。

关闭操作系统的防火墙（针对Redis端口）

这通常适用于你的应用程序和Redis服务器在同一台机器,或者在一个你完全信任的内网环境中。

如果你使用的是firewalld（CentOS/RHEL等）：
1. 检查防火墙状态：sudo systemctl status firewalld
2. 要永久关闭Redis端口的限制（假设默认端口6379），可以执行：
```
sudo firewall-cmd --permanent --add-port=6379/tcp
sudo firewall-cmd --reload
```
3. （极度危险，不推荐） 如果你想彻底关闭整个操作系统的防火墙，可以执行：
```
sudo systemctl stop firewalld
sudo systemctl disable firewalld
```
如果你使用的是iptables（较老的系统或Ubuntu等）：
1. 添加一条规则允许6379端口的访问：
```
sudo iptables -A INPUT -p tcp --dport 6379 -j ACCEPT
```
2. 然后保存iptables规则（具体命令取决于系统）。
3. （极度危险，不推荐） 清空所有防火墙规则（这将使你的服务器门户大开）：
```
sudo iptables -F
```

禁用或配置Redis的“访问控制列表”

从Redis 6.0开始，支持了更强大的ACL功能，在Redis配置文件redis.conf中，你可能会看到关于ACL的配置。

禁用ACL（回归到仅用密码验证）：在redis.conf文件中，找到并注释掉（在行首加）所有以aclfile和user开头的配置行，然后只使用requirepass指令设置一个密码，这相当于回到了Redis 6.0之前的安全模型。
配置ACL允许所有访问（非常危险）：你可以设置一个超级用户，并允许其从任何地方进行所有操作，在redis.conf中添加：
```
user default on >密码 ~* &* +@all
```
但这与我们的安全目标背道而驰。

比“关闭”更重要的安全小建议

与其想着如何关闭防护,不如学会如何正确配置安全设置，这才是保护你Redis服务器的正道。

绑定内网IP，禁止公网访问（最重要！） 在redis.conf文件中，找到bind指令。千万不要设置为0.0.0，这会让Redis监听所有网络接口，包括公网IP，你应该只绑定需要连接的内部IP地址，比如应用程序所在服务器的内网IP，如果只是本机访问，就设置为0.0.1或localhost。
```
bind 127.0.0.1 192.168.1.100 # 只允许本机和指定内网IP连接
```
设置强密码 永远不要使用默认的空密码或弱密码（如123456），在redis.conf中设置requirepass指令，并确保ACL用户也有强密码，密码长度要足够，包含大小写字母、数字和特殊符号。
重命名危险命令 对于生产环境，可以考虑将FLUSHALL、FLUSHDB、CONFIG、SHUTDOWN等危险命令重命名为一个难以猜测的字符串，或者直接禁用它们，这可以在攻击者即使突破了密码认证后，设置第二道防线。
```
rename-command FLUSHALL "" # 直接禁用清空所有数据库命令
rename-command CONFIG "a_very_long_random_string_that_nobody_can_guess"
```
使用非默认端口 将Redis服务端口从默认的6379改为一个不常用的高端口号（如23456），可以避免被广撒网的扫描脚本轻易发现，但这只是一种“隐蔽安全”，不能替代真正的认证。
以非root用户运行Redis 专门创建一个低权限的用户（如redis）来运行Redis服务，这样可以限制万一服务被攻破后造成的损害。