哨兵必须和业务redis实例走不同网卡，否则业务流量拥塞会导致心跳丢失、误判下线及连锁故障转移；需绑定专用网卡ip、禁用dns缓存、直连通信、域名替代ip并校验dns解析链路。
哨兵必须和业务 Redis 实例走不同网卡
直接结论：哨兵通信链路必须物理或逻辑隔离于业务流量，否则极易因网络拥塞导致误判下线。这不是优化建议，而是稳定性底线。
根本原因在于哨兵靠每秒 PING 心跳维持健康判断——如果和 Redis 主从共用一张网卡（比如都绑 0.0.0.0 或同一内网 IP），业务突发流量会挤占软中断、触发 TCP 重传、甚至让内核丢包。结果就是某个哨兵在 down-after-milliseconds 内收不到 PONG，先标为 SDOWN，再连锁引发不必要的故障转移。
- 查专用网卡 IP：
ip -4 addr show eth1 | grep "inet " | awk '{print $2}' | cut -d/ -f1（例如得到10.10.20.5） - 哨兵配置里禁用通配符：
bind 10.10.20.5（不是0.0.0.0） - 确认该 IP 未被任何 Redis 实例监听（否则
redis-sentinel启动失败） - 防火墙放行：
iptables -A INPUT -i eth1 -p tcp --dport 26379 -j ACCEPT
哨兵节点之间不能走云负载均衡器
哨兵协议不支持代理或 LB 转发。把哨兵端口（26379）挂到阿里云 SLB、AWS NLB 或华为云 ELB 后，大概率出现 sentinel known-sentinel 为空、无法达成 ODOWN、卡在 “waiting for end of master synchronization” 等现象。
问题根源是哨兵依赖点对点长连接 + PUB/SUB（如 __sentinel__:hello 频道）同步拓扑，而多数云 LB 默认关闭会话保持、主动 FIN 掉空闲连接、不透传源 IP——哨兵会把对方当成“失联”。
Redis 8.2.3 是一款安全优先的高性能键值存储系统。该版本紧急修复了可能引发远程代码执行（RCE）的高危漏洞（CVE-2025-62507），并解决了 HyperLogLog 及 Cuckoo Filter 等数据结构在特定场景下的崩溃问题。建议所有用户立即升级，以保障生产环境的系统稳定与数据安全。
- 正确做法：所有哨兵部署在云服务器内网，只用内网 IP 直连；客户端通过 LB 访问的是 Redis 实例（
6379），不是哨兵 - 确保哨兵间双向安全组放行：
26379端口的 TCP 入向和出向 - 若必须单机多哨兵，用
iptables或tc对26379出向流量做策略路由，强制走独立网关
sentinel monitor 不能写死 IP，尤其在云环境
云服务器 IP 经常漂移（ECS 重建、弹性网卡迁移），如果 sentinel.conf 里写 sentinel monitor mymaster 10.10.10.36 6379 2，新实例启动后哨兵会持续报 Connection refused 或 NOAUTH Authentication required（因密码可能已更新）。
真正可行的是用可解析的内网域名代替 IP，并由云平台 DNS 自动更新解析记录：
- 在云控制台为 Redis 实例绑定固定内网域名（如
redis-master-01.internal） -
sentinel.conf中写：sentinel monitor mymaster redis-master-01.internal 6379 2 - 所有哨兵节点的
/etc/resolv.conf必须指向云厂商 DNS（如阿里云100.100.2.136），并禁用systemd-resolved缓存 - 验证：
redis-cli -p 26379 sentinel get-master-addr-by-name mymaster返回应为域名，不是 IP
DNS 和 hosts 配置稍有偏差就会启动失败
看似简单的 sentinel monitor 行，背后依赖完整 DNS 链路。如果域名解析失败，哨兵连主节点地址都拿不到，直接报 Unable to resolve master name，根本进不了监控流程。
更隐蔽的问题来自 /etc/hosts：某些运维脚本动态写入 hosts 映射，若映射指向了业务网卡 IP，而你哨兵绑的是管理网卡 IP，就会出现“能 ping 通但连不上”的诡异情况。
- 启动前先手动测试：
nslookup redis-master-01.internal和dig +short redis-master-01.internal - 检查
/etc/hosts是否存在冲突条目，尤其是自动化脚本写入的临时映射 - 哨兵启动时加
--debug参数，观察日志里是否有resolve或getaddrinfo类错误 - 生产环境建议禁用所有本地 DNS 缓存服务（如
systemd-resolved、nscd）
