Connessione ad Amazon ElastiCache (Redis OSS) con crittografia in transito tramite redis-cli

Per accedere ai dati dalle cache ElastiCache (Redis OSS) abilitate con la crittografia in transito, si utilizzano client che funzionano con Secure Socket Layer (SSL). Puoi anche usare redis-cli con TLS/SSL su Amazon linux e Amazon Linux 2. Se il client non supporta TLS, è possibile utilizzare il stunnel comando sull'host client per creare un tunnel SSL verso i nodi Redis OSS.

Connessione crittografata con Linux

Per utilizzare redis-cli per connettersi a un cluster Redis OSS abilitato con crittografia in transito su Amazon Linux 2023, Amazon Linux 2 o Amazon Linux, segui questi passaggi.

1. Scaricare e compilare l'utilità redis-cli. Questa utilità è inclusa nella distribuzione del software Redis OSS.

2. Al prompt dei comandi dell'istanza EC2, digita i comandi appropriati per la versione di Linux che stai utilizzando.

   Amazon Linux 2023

   Se usi Amazon Linux 2023, inserisci questo:

   sudo yum install redis6 -y

   Quindi digita il comando seguente, sostituendo l'endpoint del cluster e la porta con quanto mostrato in questo esempio.

   redis-cli -h Primary or Configuration Endpoint --tls -p 6379

   Per ulteriori informazioni sulla ricerca dell'endpoint, consultaIndividuazione degli endpoint dei nodi.

   Amazon Linux 2

   Se usi Amazon Linux 2, inserisci questo:

   sudo yum -y install openssl-devel gcc
   wget http://download.redis.io/redis-stable.tar.gz
   tar xvzf redis-stable.tar.gz
   cd redis-stable
   make distclean
   make redis-cli BUILD_TLS=yes
   sudo install -m 755 src/redis-cli /usr/local/bin/

   Amazon Linux

   Se usi Amazon Linux, inserisci questo:

   sudo yum install gcc jemalloc-devel openssl-devel tcl tcl-devel clang wget
   wget http://download.redis.io/redis-stable.tar.gz
   tar xvzf redis-stable.tar.gz
   cd redis-stable
   make redis-cli CC=clang BUILD_TLS=yes
   sudo install -m 755 src/redis-cli /usr/local/bin/

   Su Amazon Linux, potrebbe essere necessario eseguire anche i seguenti passaggi aggiuntivi:

   sudo yum install clang
   CC=clang make
   sudo make install

3. Dopo aver scaricato e installato l'utilità redis-cli, si consiglia di eseguire il comando opzionale. make-test

4. Per connetterti a un cluster con crittografia e autenticazione abilitate, inserisci questo comando:

   redis-cli -h Primary or Configuration Endpoint --tls -a 'your-password' -p 6379

   Nota

   Se installi redis6 su Amazon Linux 2023, ora puoi usare redis6-cli il comando al posto di: redis-cli

   redis6-cli -h Primary or Configuration Endpoint --tls -p 6379

Connessione crittografata con stunnel

Per utilizzare redis-cli per connetterti a un cluster Redis OSS abilitato alla crittografia in transito tramite stunnel, segui questi passaggi.

1. Utilizza SSH per connettersi al client e installare stunnel.

   sudo yum install stunnel

2. Esegui il comando seguente per creare e modificare il file '/etc/stunnel/redis-cli.conf' contemporaneamente per aggiungere un endpoint del cluster ElastiCache (Redis OSS) a uno o più parametri di connessione, utilizzando l'output fornito di seguito come modello.

   vi /etc/stunnel/redis-cli.conf
   
   				
   fips = no
   setuid = root
   setgid = root
   pid = /var/run/stunnel.pid
   debug = 7 
   delay = yes
   options = NO_SSLv2
   options = NO_SSLv3
   [redis-cli]
      client = yes
      accept = 127.0.0.1:6379
      connect = primary.ssltest.wif01h.use1.cache.amazonaws.com:6379
   [redis-cli-replica]
      client = yes
      accept = 127.0.0.1:6380
      connect = ssltest-02.ssltest.wif01h.use1.cache.amazonaws.com:6379

   In questo esempio, il file di configurazione dispone di due connessioni, redis-cli e redis-cli-replica. I parametri sono impostati come riportato di seguito:

   • client è impostato su yes per specificare che questa istanza stunnel è un client.

   • accept è impostato sull'IP client. In questo esempio, il primario è impostato sul valore predefinito di Redis OSS 127.0.0.1 sulla porta 6379. La replica deve chiamare una porta diversa e impostarla su 6380. Puoi usare porte effimere 1024–65535. Per ulteriori informazioni, consultaPorte Effimerenellaguida per l'utente Amazon VPC.

   • connect è impostato sull'endpoint del server Redis OSS. Per ulteriori informazioni, consulta Individuazione degli endpoint di connessione.

3. Avvia stunnel.

   sudo stunnel /etc/stunnel/redis-cli.conf

   Utilizza il comando netstat per confermare che i tunnel sono stati avviati.

   sudo netstat -tulnp | grep -i stunnel
   				
   tcp        0      0 127.0.0.1:6379              0.0.0.0:*                   LISTEN      3189/stunnel        
   tcp        0      0 127.0.0.1:6380              0.0.0.0:*                   LISTEN      3189/stunnel

4. Connect al nodo Redis OSS crittografato utilizzando l'endpoint locale del tunnel.

   • Se non è stata utilizzata alcuna password AUTH durante la creazione del cluster ElastiCache (Redis OSS), questo esempio utilizza redis-cli per connettersi al server ElastiCache (Redis OSS) utilizzando il percorso completo per redis-cli, su Amazon Linux:

     /home/ec2-user/redis-stable/src/redis-cli -h localhost -p 6379

     Se la password AUTH è stata utilizzata durante la creazione del cluster Redis OSS, questo esempio utilizza redis-cli per connettersi al server Redis OSS utilizzando il percorso completo per redis-cli, su Amazon Linux:

      /home/ec2-user/redis-stable/src/redis-cli -h localhost -p 6379 -a my-secret-password

   O

   • Modifica la directory su redis-stable ed effettua le seguenti operazioni:

     Se non è stata utilizzata alcuna password AUTH durante la creazione del cluster ElastiCache (Redis OSS), questo esempio utilizza redis-cli per connettersi al server ElastiCache (Redis OSS) utilizzando il percorso completo per redis-cli, su Amazon Linux:

     src/redis-cli -h localhost -p 6379

     Se la password AUTH è stata utilizzata durante la creazione del cluster Redis OSS, questo esempio utilizza redis-cli per connettersi al server Redis OSS utilizzando il percorso completo per redis-cli, su Amazon Linux:

     src/redis-cli -h localhost -p 6379 -a my-secret-password	

   Questo esempio utilizza Telnet per connettersi al server Redis OSS.

   telnet localhost 6379
   			
   Trying 127.0.0.1...
   Connected to localhost.
   Escape character is '^]'.
   auth MySecretPassword
   +OK
   get foo
   $3
   bar

5. Per interrompere e chiudere i tunnel SSL, esegui il pkill del processo stunnel.

   sudo pkill stunnel