آموزش نصب Redis Sentinel در اوبونتو و دبیان

روی A و B و C با حساب مدیر دارای sudo اجرا شود. نسخهٔ سیستم‌عامل، نشانی خصوصی، همگام‌بودن ساعت و منابع را بررسی کنید؛ برای آزمایش کوچک دست‌کم۲ گیگابایت رم و فضای کافی برای داده، بازنویسی AOF و بکاپ لازم است. هر پردازشی روی پورت‌های۶۳۷۹ و۲۶۳۷۹ نیاز به بررسی دارد. نصب دستی ممکن است در فهرست بسته‌ها دیده نشود؛ خروجی پردازش‌ها و پورت‌ها نیز ملاک است.

(
set -euo pipefail
. /etc/os-release
printf '%s %s\n' "$ID" "$VERSION_ID"
dpkg --print-architecture
ip -br address
timedatectl status
df -h / /var
installed=$(dpkg-query -W -f='${binary:Package} ${db:Status-Status}\n')
if printf '%s\n' "$installed" | grep -E '^(redis-server|redis-sentinel|valkey-server|valkey-sentinel)(:[^ ]+)? installed$' >/dev/null; then
  echo 'Existing Redis/Valkey installation: STOP' >&2; exit 1
fi
for path in /etc/redis /var/lib/redis /var/lib/redis-sentinel; do
  if sudo test -e "$path"; then echo "Existing state: $path; STOP" >&2; exit 1; fi
done
sudo ss -lntp
)

پس از عبور از بررسی اولیه، روی هر سه سرور اجرا شود. APT اصالت فرادادهٔ امضاشده و هش بسته‌ها را بررسی می‌کند. فقط مخزن همین نسخهٔ سیستم‌عامل و به‌روزرسانی امنیتی آن به کار رود؛ جایگزینی باینری Valkey، آرشیو بالادستی یا مخزن نسخهٔ دیگر اوبونتو مناسب این راهنما نیست. نصب ممکن است سرویس محدود به loopback را روشن کند. بخش بعد فقط همین سرویس تازه و اختصاصی آموزش را متوقف می‌کند. شمارهٔ کامل بسته‌ها در سه سرور باید برابر باشد.

sudo apt-get update
sudo apt-get install redis-server redis-sentinel redis-tools openssl nano
dpkg-query -W redis-server redis-sentinel redis-tools
redis-server --version
redis-sentinel --version
redis-cli --version

فقط روی سرورهای تازهٔ همین آموزش انجام شود؛ توقف Redis محیط عملیاتی مجاز نیست. نسخهٔ تنظیمات با ساختار مسیر نگهداری می‌شود. نبودن هر کدام از فایل‌ها خطاست. این آرشیو محرمانه است و نباید وارد گیت یا فضای عمومی شود.

sudo systemctl stop redis-sentinel redis-server
sudo bash -eu <<'BACKUP'
umask 077
test -f /etc/redis/redis.conf
test -f /etc/redis/sentinel.conf
install -d -m 0700 /root/academy-backups
backup=$(mktemp -d /root/academy-backups/redis-defaults-XXXXXXXX)
tar -C / -cpf "$backup/etc-redis.tar" etc/redis
tar -tf "$backup/etc-redis.tar" >/dev/null
tar -C / -df "$backup/etc-redis.tar"
printf 'Defaults retained: %s\n' "$backup"
BACKUP

زیرساخت گواهی مورد اعتماد باید از قبل سه فایل ورودی را در مسیر محافظت‌شده گذاشته باشد. هر سرور کلید و گواهی جداگانه، SAN مطابق IP خصوصی خودش، کاربردهای serverAuth و clientAuth و زنجیرهٔ معتبر داشته باشد. کلید خصوصی CA به سرورها منتقل نشود و یک کلید برای سه سرور تکرار نشود. برای میزبان مدیر و اپلیکیشن هم گواهی کلاینت جدا صادر شود. mTLS اعتماد به CA را بررسی می‌کند و جای نام کاربری ACL را نمی‌گیرد. اعتبارسنجی CA در اتصال داخلی Redis و Sentinel را نباید بررسی نام میزبان نامید. CA اختصاصی این سامانه، مسیر خصوصی و محدودیت مبدأ لازم‌اند؛ کلاینتی که تطبیق نام مقصد می‌خواهد باید آن را صریح پشتیبانی و بررسی کند.

(
set -euo pipefail
sudo install -d -o root -g redis -m 0750 /etc/redis/tls
sudo install -o root -g redis -m 0640 /root/academy-pki/ca.pem /etc/redis/tls/ca.pem
sudo install -o root -g redis -m 0640 /root/academy-pki/node-fullchain.pem /etc/redis/tls/node.pem
sudo install -o root -g redis -m 0640 /root/academy-pki/node-key.pem /etc/redis/tls/node.key
sudo openssl verify -CAfile /etc/redis/tls/ca.pem -purpose sslserver /etc/redis/tls/node.pem
sudo openssl verify -CAfile /etc/redis/tls/ca.pem -purpose sslclient /etc/redis/tls/node.pem
sudo openssl x509 -in /etc/redis/tls/node.pem -noout -dates -ext subjectAltName
sudo openssl x509 -in /etc/redis/tls/node.pem -checkend 604800 -noout
sudo openssl x509 -in /etc/redis/tls/node.pem -pubkey -noout | openssl sha256
sudo openssl pkey -in /etc/redis/tls/node.key -pubout | openssl sha256
sudo -u redis test -r /etc/redis/tls/node.key
)

روی هر سه سرور انجام شود. پنل بعد محتوای فایل است و فرمان شل نیست. چهار رمز نمونه را پیش از ذخیره عوض کنید. کاربر پیش‌فرض غیرفعال است. اپلیکیشن دسترسی Pub/Sub، به‌ویژه کانال رزروشدهٔ Sentinel، ندارد. مدیر اختیار نگهداری دارد ولی دسترسی اولیهٔ کانال ندارد؛ فقط CONTROL کانال داخلی را می‌گیرد.

sudo install -o root -g redis -m 0640 /dev/null /etc/redis/users.acl
sudo nano /etc/redis/users.acl

روی سه سرور، فایل بسته با تنظیمات اختصاصی پنل بعد جایگزین شود. نشانی محلی A همان10.20.0.10 است؛ در B هر دو مقدار bind و announce به10.20.0.11 و در C به10.20.0.12 تغییر کند. رمز REPL با ACL برابر باشد و روی A هم تنظیم شود تا پس از جابه‌جایی بتواند نسخهٔ دریافت‌کننده شود. فایل باید برای بازنویسی نقش توسط Sentinel قابل نوشتن بماند. نسخهٔ اولیهٔ بسته را حفظ کنید.

sudo nano /etc/redis/redis.conf

روی سه سرور. فایل بعد دسترسی مدیر و همتای Sentinel را از کشف سرویس جدا می‌کند. PEER طبق قرارداد بالادستی اختیار مدیریتی دارد و نباید به اپلیکیشن داده شود. در این روش ACL، تنظیم requirepass هم‌زمان اضافه نمی‌شود.

sudo install -o root -g redis -m 0640 /dev/null /etc/redis/sentinel-users.acl
sudo nano /etc/redis/sentinel-users.acl

فایل Sentinel اختصاصی با پنل بعد جایگزین شود. در B و C هر دو نشانی bind و sentinel announce-ip، نشانی همان میزبان باشند؛ مبدأ نظارت اولیه در هر سه A است. رمز CONTROL با ACL داده و PEER با ACL رأی‌دهنده برابر باشد. فایل و پوشهٔ آن باید بازنویسی اتمی را اجازه دهند؛ فقط‌خواندنی‌کردن یا برگرداندن فایل اولیه بعد از انتخابات درست نیست.

sudo nano /etc/redis/sentinel.conf

قبل از روشن‌کردن سرویس روی سه سرور اجرا شود. مالک دو فایل قابل بازنویسی redis است؛ فایل‌های ACL ریشه‌مالک می‌مانند. پوشهٔ تنظیمات بخشی از وضعیت حساس اجراست و نباید با استقرار گیت بازنویسی شود. محدودیت سرویس باید نوشتن در این مسیر را مجاز بداند؛ سخت‌سازی واحد را کورکورانه غیرفعال نکنید. محتوای محرمانهٔ فایل‌ها چاپ نشود.

(
set -euo pipefail
sudo chown redis:redis /etc/redis /etc/redis/redis.conf /etc/redis/sentinel.conf
sudo chmod 0750 /etc/redis
sudo chmod 0640 /etc/redis/redis.conf /etc/redis/sentinel.conf
sudo chown root:redis /etc/redis/users.acl /etc/redis/sentinel-users.acl
sudo chmod 0640 /etc/redis/users.acl /etc/redis/sentinel-users.acl
if sudo grep -E 'REPLACE_' /etc/redis/redis.conf /etc/redis/sentinel.conf /etc/redis/users.acl /etc/redis/sentinel-users.acl >/dev/null; then
  echo 'Unfilled secret placeholder: STOP' >&2; exit 1
else
  status=$?
  test "$status" -eq 1
fi
sudo -u redis test -w /etc/redis
sudo -u redis test -w /etc/redis/redis.conf
sudo -u redis test -w /etc/redis/sentinel.conf
systemctl show redis-server redis-sentinel -p User -p Group -p ExecStart -p ReadWritePaths -p ReadWriteDirectories -p RuntimeDirectory
sudo ss -lntp
)

ابتدا A و سپس B و C روشن شوند. این اولین شروع با تنظیمات تازه است. فقط پورت TLS ۶۳۷۹ روی loopback و IP خصوصی انتخابی دیده شود. اگر شروع شکست خورد، پیش از تکرار علت را بخوانید؛ Redis فرمان عمومی بررسی آفلاین تنظیمات مشابه nginx -t ندارد.

sudo systemctl enable --now redis-server
sudo systemctl status redis-server --no-pager
sudo ss -lntp

روی هر سه سرور، رمز ADMIN در ورودی مخفی داده شود. رمز در آرگومان یا تاریخچهٔ شل قرار نگیرد. پنل بعد نشست تعاملی redis-cli است و نباید در شل اجرا شود.

sudo redis-cli --tls --cacert /etc/redis/tls/ca.pem --cert /etc/redis/tls/node.pem --key /etc/redis/tls/node.key -h 127.0.0.1 -p 6379 --user admin --askpass

در A نقش master و دو connected_slaves انتظار می‌رود. در B و C نقش slave، مبدأ10.20.0.10، وضعیت اتصال up و مقدار صفر برای master_sync_in_progress لازم است. هنگام نوشتن، پیشرفت offset را هم ببینید؛ اتصال سالم به‌تنهایی رسیدن دادهٔ مورد نظر را ثابت نمی‌کند. خروجی Redis هنوز بعضی نام‌های قدیمی master و slave را دارد. ذخیره‌سازی هم نباید خطای تکرارشونده داشته باشد.

ROLE
INFO replication
INFO persistence
QUIT

روی A، رمز APP در ورودی مخفی وارد شود. این نقش محدود فقط کلیدهای academy:*، فرمان WAIT و بررسی سلامت و نقش را پوشش می‌دهد و الگوی عمومی همهٔ اپلیکیشن‌ها نیست. SET و WAIT باید در همین اتصال اجرا شوند.

sudo redis-cli --tls --cacert /etc/redis/tls/ca.pem --cert /etc/redis/tls/node.pem --key /etc/redis/tls/node.key -h 127.0.0.1 -p 6379 --user app --askpass

در همان نشست APP اجرا شود. پاسخ SET باید OK باشد و WAIT در پنج ثانیه عدد۲ بدهد. صفر یا یک یعنی بررسی تکثیر کامل نشده؛ در این حالت تمرین ادامه پیدا نکند. حتی عدد۲ هم تضمین اجماع یا ثبت پایدار نیست. این کلید فقط متعلق به آزمایش اختصاصی است.

SET academy:probe before-failover
WAIT 2 5000
GET academy:probe
QUIT

Illustrative successful output / نمونهٔ خروجی موفق:
OK
(integer) 2
"before-failover"

در B و C با همان پنل ورود APP به نمونهٔ محلی وصل شوید و نشست زیر را اجرا کنید. روی هر دو، GET باید before-failover باشد. تلاش SET باید خطای READONLY بدهد و کلید را تغییر ندهد. رد پاسخ قدیمی هنگام قطع اتصال عمدی است؛ برای پنهان‌کردن نتیجه، نوشتن روی نسخهٔ دریافت‌کننده را فعال نکنید.

GET academy:probe
SET academy:probe forbidden-write
QUIT

ابتدا A، سپس B و بعد C اجرا شوند. بین افزودن هر رأی‌دهنده۳۰ ثانیه فاصله و بررسی لاگ باشد تا کشف همتاها انجام شود. این فاصله وعدهٔ زمان بازیابی نیست و به واحد سرویس تازه نیاز ندارد.

sudo systemctl enable --now redis-sentinel
sudo systemctl status redis-sentinel --no-pager
sleep 30
sudo tail -n 40 /var/log/redis/redis-sentinel.log

روی هر سرور با رمز ADMIN وارد شوید. پنل بعد فقط بررسی وضعیت است. نقش محدود کشف سرویس در بخش جدا امتحان می‌شود.

sudo redis-cli --tls --cacert /etc/redis/tls/ca.pem --cert /etc/redis/tls/node.pem --key /etc/redis/tls/node.key -h 127.0.0.1 -p 26379 --user admin --askpass

روی هر سه Sentinel اجرا شود. CKQUORUM باید OK بدهد. در MASTER حد نصاب۲، دو همتای دیگر، دو نسخهٔ دریافت‌کننده و نبود پرچم خرابی یا قطع اتصال لازم است. REPLICAS باید B و C را با اتصال سالم و اولویت قابل انتخاب نشان دهد. MYID سه رأی‌دهنده متفاوت باشد. کم‌کردن حد نصاب برای عبور از بررسی راه‌حل نیست.

SENTINEL MYID
SENTINEL CKQUORUM academy
SENTINEL MASTER academy
SENTINEL REPLICAS academy
SENTINEL SENTINELS academy
QUIT

روی میزبان مجاز کلاینت، گواهی مستقل همان کلاینت و CA در مسیرهای زیر قرار داشته باشد. رمز DISCOVERY با APP متفاوت است. کتابخانهٔ واقعی اپلیکیشن باید هر سه نشانی اولیه را بشناسد، مقصد برگشتی را با ROLE بررسی کند و پس از تغییر نقش دوباره مقصد را پیدا کند. IP ثابت اولیه، توزیع سادهٔ TCP یا یک رکورد DNS به‌تنهایی پشتیبانی Sentinel نیست.

redis-cli --tls --cacert /etc/academy-client/ca.pem --cert /etc/academy-client/client.pem --key /etc/academy-client/client.key -h 10.20.0.11 -p 26379 --user discovery --askpass

در نشست DISCOVERY، پیش از جابه‌جایی نشانی A و پورت۶۳۷۹ برمی‌گردد. درخواست FAILOVER عمداً باید NOPERM بگیرد تا مشخص شود این حساب امکان ارتقا ندارد. برای حذف این خطای مورد انتظار، دسترسی اضافه نکنید.

SENTINEL GET-MASTER-ADDR-BY-NAME academy
SENTINEL FAILOVER academy
QUIT

روی نویسندهٔ فعلی و پس از توقف نوشتن آزمایشی و تأیید نشانگر در هر دو دریافت‌کننده، شل محافظت‌شدهٔ ریشه را برای پنل بعد باز کنید. پیش از تمرین جابه‌جایی، این بکاپ تهیه و روی میزبان جدا بازیابی شود. پس از تمرین هم برای نگهداری وضعیت تازه دوباره قابل اجراست. خروجی یک RDB سازگار همراه تنظیمات محافظت‌شده است، نه کپی پوشهٔ AOF در حال تغییر. بکاپ داده و رمز دارد و جداگانه به فضای رمزگذاری‌شدهٔ مصوب منتقل شود. پیش از بازیابی موفق جدا، به آن اتکا نکنید.

sudo -i

در Bash ریشهٔ نویسندهٔ فعلی اجرا شود. رمز ADMIN فقط در ورودی مخفی داده شود. خطا زیرشل را متوقف می‌کند و پوشهٔ ناقصِ محافظت‌شده برای بررسی می‌ماند؛ در این حالت بازنشستگی یا بازیابی ادامه نیابد. هنگام تمام مراحل نوشتن متوقف باشد. ساختار مسیرها در آرشیو حفظ می‌شود.

(
set -euo pipefail
umask 077
install -d -m 0700 /root/academy-backups
backup=$(mktemp -d /root/academy-backups/redis-data-XXXXXXXX)
redis-cli --tls --cacert /etc/redis/tls/ca.pem --cert /etc/redis/tls/node.pem --key /etc/redis/tls/node.key -h 127.0.0.1 --user admin --askpass --raw GET academy:probe > "$backup/probe.txt"
case "$(cat "$backup/probe.txt")" in
  before-failover|after-failover) ;;
  *) echo "Unexpected lab marker: STOP" >&2; exit 1 ;;
esac
redis-cli --tls --cacert /etc/redis/tls/ca.pem --cert /etc/redis/tls/node.pem --key /etc/redis/tls/node.key -h 127.0.0.1 --user admin --askpass --rdb "$backup/dump.rdb"
test -s "$backup/dump.rdb"
redis-check-rdb "$backup/dump.rdb"
tar -C / -cpf "$backup/config.tar" etc/redis
tar -tf "$backup/config.tar" >/dev/null
tar -C / -df "$backup/config.tar"
cd "$backup"
sha256sum dump.rdb probe.txt config.tar > SHA256SUMS
sha256sum -c SHA256SUMS
printf 'Protected backup: %s\n' "$backup"
)
exit

پیش از تمرین جابه‌جایی، روی میزبان بازیابی جدا با همان نسخهٔ Redis و نسخهٔ محافظت‌شدهٔ بکاپ اجرا شود. مقدار backup باید مسیر واقعی باشد. پوشهٔ تازه و فضای نام شبکهٔ بدون پورت TCP به کار می‌رود و مسیر دادهٔ اصلی هرگز مقصد نیست. unshare به دسترسی ریشه نیاز دارد. تنظیمات قدیمی و اسرار را روی سامانهٔ روشن استخراج نکنید. برابری نشانگر فقط یک کنترل آزمایش است؛ بازیابی واقعی به بررسی کلیدهای نماینده، انقضا و قواعد اپلیکیشن نیاز دارد. AOF عمداً خاموش است تا RDB بازیابی‌شده بار شود.

sudo unshare --net --fork bash -eu <<'RESTORE'
umask 077
backup=/root/academy-backups/REPLACE_WITH_VERIFIED_BACKUP_DIRECTORY
cd "$backup"
sha256sum -c SHA256SUMS
redis-check-rdb dump.rdb
restore=$(mktemp -d /root/redis-restore-XXXXXXXX)
install -m 0600 dump.rdb "$restore/dump.rdb"
redis-server --bind 127.0.0.1 --port 0 --unixsocket "$restore/redis.sock" --unixsocketperm 600 --dir "$restore" --dbfilename dump.rdb --appendonly no --save '' --daemonize yes --pidfile "$restore/redis.pid" --logfile "$restore/redis.log"
trap 'redis-cli -s "$restore/redis.sock" SHUTDOWN NOSAVE >/dev/null || true' EXIT
for attempt in $(seq 1 30); do
  if test -S "$restore/redis.sock"; then break; fi
  sleep 1
done
actual=$(redis-cli -s "$restore/redis.sock" --raw GET academy:probe)
expected=$(cat "$backup/probe.txt")
test -n "$expected"
test "$actual" = "$expected"
redis-cli -s "$restore/redis.sock" DBSIZE
redis-cli -s "$restore/redis.sock" INFO persistence
printf 'Isolated marker restore passed; retained at %s\n' "$restore"
RESTORE

فقط در A و پس از تأیید نقش فعلی، رسیدن نشانگر به B و C و قطع مسیر کلاینت به A اجرا شود. Sentinel میزبان A روشن می‌ماند. این آزمون توقف سرویس است و خرابی فیزیکی میزبان یا استقلال دامنه‌های خرابی را ثابت نمی‌کند.

sudo systemctl stop redis-server
sudo systemctl is-active redis-server

در B و C با پنل ورود مدیریتی Sentinel وصل شوید. حداکثر۱۸۰ ثانیه وضعیت را مشاهده کنید: نشانی باید از A تغییر کند، CKQUORUM موفق باشد و رأی‌دهنده‌ها بر مقصد تازه توافق کنند. نبود ارتقا نیاز به عیب‌یابی دارد؛ کم‌کردن حد نصاب یا درخواست مکرر جابه‌جایی مناسب نیست. زمان به وضعیت واقعی اتصال و انتخابات بستگی دارد.

SENTINEL GET-MASTER-ADDR-BY-NAME academy
SENTINEL CKQUORUM academy
SENTINEL MASTER academy
QUIT

در میزبان کلاینت، DISCOVERED_PRIMARY_IP با نشانی B یا C که همین حالا برگشته جایگزین شود. رمز APP در ورودی مخفی داده شود. پیش از اجازهٔ نوشتن با سیاست حداقل یک نسخه، سرور دادهٔ باقی‌مانده باید دریافت‌کنندهٔ نویسندهٔ تازه شده باشد. پنل بعد در همین اتصال اجرا شود.

redis-cli --tls --cacert /etc/academy-client/ca.pem --cert /etc/academy-client/client.pem --key /etc/academy-client/client.key -h DISCOVERED_PRIMARY_IP -p 6379 --user app --askpass

GET باید همان before-failover باشد. SET باید OK و WAIT عدد۱ بدهد؛ در غیر این صورت ادامه ندهید. مقدار تازه با ورود APP محلی روی نسخهٔ دریافت‌کنندهٔ باقی‌مانده هم خوانده شود. بررسی فقط روی نویسنده کافی نیست. گم‌شدن نشانگر نتیجهٔ ناموفق بازیابی است، نه مجوز بازنویسی داده.

ROLE
GET academy:probe
SET academy:probe after-failover
WAIT 1 5000
GET academy:probe
QUIT

فقط در A و در حالی که مسیر اپلیکیشن به آن بسته است اجرا شود. داده و تنظیمات فعلی حفظ شوند؛ Sentinel باید آن را دریافت‌کنندهٔ نویسندهٔ منتخب کند. ارتقای دستی، کپی فایل اولیه و بازکردن مسیر نوشتن هنگام همگرایی درست نیست. بازهمگام‌سازی می‌تواند دادهٔ متفاوت نویسندهٔ قبلی را جایگزین کند؛ در این تمرین A حصارگذاری شده و نوشتن مستقل ندارد. در حادثهٔ واقعی، ابتدا شواهد و دادهٔ آفلاین سرور متفاوت حفظ و تصمیم بازیابی گرفته شود.

sudo systemctl start redis-server
sudo systemctl status redis-server --no-pager
sudo tail -n 50 /var/log/redis/redis-sentinel.log

در A با حساب ADMIN نقش دریافت‌کننده، نشانی نویسندهٔ تازه، اتصال up، پایان همگام‌سازی کامل و سلامت ذخیره‌سازی بررسی شود. GET با APP باید after-failover برگرداند و SET خطای READONLY بدهد. بررسی حد نصاب و توپولوژی روی همهٔ رأی‌دهنده‌ها تکرار شود. بازگشت اجباری فوری به نویسندهٔ قبلی لازم نیست. پس از این تأییدها، مسیریابی کلاینت و دسترسی خصوصی مصوب برقرار شود.

ROLE
INFO replication
INFO persistence
QUIT

برای کنارگذاشتن آزمایش، ابتدا ترافیک اپلیکیشن از مسیر مدیریتی خودش قطع و همهٔ مقصدهای داده حصارگذاری شوند. بکاپ بررسی‌شده و شواهد بازیابی موفق جدا نگهداری شوند. سپس در سه میزبان سرویس‌ها با پنل زیر غیرفعال شوند. این توقف نگهداری است، نه روشی برای حفظ HA بدون Sentinel. فایل، RDB، AOF و مجوزها باقی می‌مانند. پاک‌کردن بسته، تخلیهٔ داده یا برگرداندن کورکورانهٔ نقش اولیه مجاز نیست. شروع دوباره به تصمیم روشن دربارهٔ نویسندهٔ فعلی و بررسی تازهٔ نقش، رأی و داده پیش از ورود کلاینت نیاز دارد.

sudo systemctl disable --now redis-sentinel
sudo systemctl disable --now redis-server
sudo systemctl is-enabled redis-sentinel redis-server
sudo ss -lntp