查看Docker容器内部Redis的TCP连接问题
在日常开发和运维中，我们经常会在Docker容器内部署Redis。然而，由于Docker网络隔离的特性以及Redis本身的配置机制，经常会遇到客户端无法与Redis建立TCP连接的问题。这些问题通常表现为连接被拒绝、连接超时或无法认证等。本文将深入探讨如何排查和解决Docker容器内部Redis的TCP连接问题。
一、常见连接问题及原因分析
在Docker环境中，Redis连接失败通常由以下几个原因导致：
1. bind配置限制：Redis默认只监听127.0.0.1，这意味着它只接受容器内部的本地连接，外部或宿主机的请求会被拒绝。
2. protected-mode保护模式：当Redis未设置密码且绑定了非本地IP时，保护模式会生效，拒绝远程客户端的连接。
3. Docker端口未映射：启动容器时未将Redis的6379端口映射到宿主机。
4. 网络模式不匹配：客户端与Redis容器不在同一个Docker网络中，导致网络不可达。
5. 连接数耗尽：Redis达到最大客户端连接数限制，新的TCP握手无法完成。
二、排查步骤与解决方案
1. 检查并修改Redis配置
首先，我们需要进入容器内部查看Redis的配置文件（通常是redis.conf），重点检查bind和protected-mode参数。
# 进入Redis容器 docker exec -it <redis_container_id> /bin/bash # 查看当前redis配置 redis-cli CONFIG GET bind redis-cli CONFIG GET protected-mode
如果需要允许外部通过TCP连接Redis，必须修改这两个配置。在自定义的redis.conf中做如下修改：
# 监听所有网络接口，或者指定Docker内网IP bind 0.0.0.0 # 关闭保护模式（生产环境请务必设置requirepass密码后再关闭） protected-mode no # 建议设置密码以保证安全 requirepass your_strong_password
2. 确认Docker端口映射与网络
启动Redis容器时，必须正确映射端口。如果希望从宿主机或外部网络访问，应使用-p参数：
docker run -d --name my-redis -p 6379:6379 -v /path/to/redis.conf:/etc/redis/redis.conf redis redis-server /etc/redis/redis.conf
如果客户端也是在一个Docker容器中（例如一个Web服务），最安全的做法是将它们放在同一个自定义Docker网络中，通过容器名进行DNS解析和TCP通信，而不需要暴露端口到宿主机。
# 创建自定义网络 docker network create app-network # 启动Redis docker run -d --name my-redis --network app-network redis # 启动客户端容器，通过容器名连接 docker run -d --name my-app --network app-network my-app-image
在客户端应用中，连接地址应填写Redis容器名，例如连接demo地址可配置为redis://my-redis:6379，若需指定外部演示域名则使用redis://www.ipipp.com:6379。
3. 容器内部排查TCP连接状态
当配置和网络无误，但依然存在连接异常时，需要进入容器内部使用网络工具排查TCP连接状态。部分精简的Redis镜像可能没有netstat或ss命令，可以手动安装或使用Redis自带的命令。
使用Redis客户端命令排查：
# 进入redis-cli redis-cli # 查看当前客户端连接列表 127.0.0.1:6379> CLIENT LIST
CLIENT LIST会返回所有TCP连接的详细信息，包括客户端IP、端口、连接状态、已执行命令数等。如果发现大量空闲连接，可能是应用侧没有正确使用连接池导致连接泄露。
使用系统网络工具排查：
# 查看Redis监听的TCP端口状态 netstat -antp | grep 6379 # 或使用ss命令 ss -antp | grep 6379
重点关注处于SYN_RECV、TIME_WAIT或CLOSE_WAIT状态的连接。大量TIME_WAIT通常意味着应用频繁创建和销毁短连接；大量CLOSE_WAIT则说明客户端未正确关闭连接。
4. 检查连接数限制
当Redis无法接受新连接时，可能是达到了最大连接数上限。可以通过以下命令查看和修改：
# 查看当前最大连接数配置 redis-cli CONFIG GET maxclients # 查看当前实际连接数 redis-cli INFO clients | grep connected_clients
如果connected_clients接近maxclients，需要在redis.conf中增大该值，同时确保Linux系统的文件描述符限制也足够大。可以在启动Redis容器时调整ulimit：
docker run -d --ulimit nofile=65536:65536 --name my-redis redis
三、总结
排查Docker容器内部Redis的TCP连接问题，遵循“先配置、后网络、再系统状态”的思路最为高效。确认bind和protected-mode放行了相应网络的请求，保证Docker端口映射或内部网络通信正常，最后利用CLIENT LIST和netstat等工具分析TCP连接的实际情况。通过系统化的排查，绝大多数Redis连接问题都能迎刃而解，保障服务的稳定运行。