复制链路为什么要加密
标准复制端口默认是明文的 RESP 流量：主从之间的全量同步会把整份数据传过去，增量链路也持续携带写入内容。跨不可信网络部署时，要么在支持 TLS 的版本上给客户端、复制与集群总线都配上加密，要么把复制流量放进专线、隧道或隔离网络。
基本信息
| 默认状态 | 复制流量为明文 |
|---|---|
| TLS 支持 | 较新版本提供 TLS，覆盖客户端、复制与集群总线三类链路 |
| 替代方案 | 专线、隧道、内网隔离 |
| 配置要点 | 证书与 CA、多套端口相关参数 |
| 验证范围 | 客户端入口、复制链路、哨兵都要测 |
三条链路都要覆盖
| 链路 | 涉及内容 | 验证动作 |
|---|---|---|
| 客户端入口 | 客户端与实例之间的读写 | 用客户端真实配置连接测试 |
| 复制链路 | 主从全量同步与增量同步 | 确认同步成功、延迟在预期内 |
| 哨兵与集群总线 | 哨兵之间及集群节点间通信 | 确认发现与故障转移正常 |
要点清单
要点清单
# 复制 TLS 需要独立的端口相关参数，只改客户端入口不够
# 证书链与 CA 要提前分发到所有节点与哨兵
# 演练顺序：客户端读写、主从同步、故障转移逐项验证
# 具体参数名与行为以对应版本文档为准典型使用场景
- 跨机房与公有云部署：复制流量经过不可控网络
- 合规要求：数据不得以明文出现在受限网络外
- 安全评估：把复制与总线流量一并纳入评估范围
- 演练验证：升级或改造后逐条链路验证
- 排查同步异常：加密配置错误常表现为同步失败
传输与落盘是两件事：磁盘上的 RDB 与 AOF 是否加密属于另一类评估，传输加密不解决静态数据保护。
只给客户端入口开 TLS 而复制仍明文，等于把整份数据暴露在中间网络；同步过程传输的数据量远大于日常读写，暴露面也更大。