可以，但必须用 Redis 6.0+ 且主从双方均启用 TLS；5.x 及更早版本不支持，硬配会导致启动失败或静默降级明文。
Redis主从通信能直接用TLS加密吗？
可以，但必须用 Redis 6.0+，且主从双方都得启用 TLS；5.x 及更早版本完全不支持，硬配会启动失败或静默降级到明文。
- 检查版本：
redis-server --version，低于6.0.0的必须升级 - 单靠配置
tls-cert-file不够，主从节点都得配齐证书、私钥、CA（如果自签）三件套 - 从节点连接主节点时，若主节点没开 TLS，或从节点没设
masterauth+tls-replication yes，复制直接中断，日志里只报Connection refused或空 timeout，不提 TLS
主从 TLS 配置项怎么填才不连不上？
关键不是“加参数”，而是让主从对齐 TLS 行为：主节点监听 TLS 端口，从节点主动走 TLS 连接，且双方校验证书链。
- 主节点需启用：
tls-port 6380（不能和port冲突），tls-cert-file、tls-key-file、tls-ca-cert-file（自签 CA 必须提供） - 从节点要显式开启 TLS 复制：
tls-replication yes，并用replicaof指向主的 TLS 端口6380 - 若主节点同时监听普通端口（
port 6379）和 TLS 端口（tls-port 6380），从节点连错端口就退化为明文——不会报错，但流量裸奔 - 证书 CN 或 SAN 必须匹配从节点所写的主机名；用 IP 连接时，证书里得有对应 IP 的 SAN，否则握手失败，日志出现
SSL_connect failed: certificate verify failed
自签名证书在 Redis TLS 中怎么用才不被拒？
自签可行，但 Redis 对证书校验比浏览器严格：CA 文件必须是 PEM 格式、不能含多余空行、路径必须绝对且可读，且从节点必须指定 tls-ca-cert-file 才信任它。
- 生成时别漏
-addext "subjectAltName = IP:192.168.1.10"（替换成实际主节点 IP），否则 IP 连接必失败 - 私钥不能加密（即不能设密码），否则 Redis 启动卡住，日志只显示
Failed to load private key - 从节点配置里
tls-ca-cert-file和tls-cert-file是两个独立路径，不能复用同一个 PEM 文件；CA 文件只放根证书，不要混入中间证书或服务证书 - 权限要收严：
chmod 600证书和私钥，Redis 进程若非 root 启动，还得确保用户有读取权限，否则静默忽略 TLS 配置
启用 TLS 后复制延迟变高或断连频繁怎么办？
TLS 握手和加解密确实带来开销，但通常不到 1ms/请求；真出问题，八成是配置或网络层干扰，不是 TLS 本身慢。
- 确认没开
tls-auth-clients optional（默认yes）——设成no会强制双向认证，但多数场景不需要，反而增加失败概率 - 内网环境可关掉证书吊销检查：
tls-ciphers DEFAULT:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:!MD5:!SEED:!CAMELLIA:!IDEA:!DES（精简 cipher list 减少协商时间） - 如果用 Docker 或 Kubernetes，宿主机时间不同步会导致证书“未生效”或“已过期”，先跑
date对齐再排查 - 主从间若有 L4 负载均衡或 NAT 设备，可能干扰 TLS 握手；建议直连测试，排除中间设备干扰
证书路径写错、私钥带密码、从节点连了非 TLS 端口——这三类错误最常导致“看着配了却没加密”，而且日志提示极其模糊。调试时优先抓包看 TCP 流是否真走 TLS（Wireshark 里搜 TLSv1.3 或 Server Hello），别只信配置文件。
