访问您的 ElastiCache 集群或复制组

登录 AWS Management Console 并打开 Amazon EC2 控制台，网址为https://console.aws.amazon.com/ec2/。

在导航窗格中的 Network & Security 下，选择 Security Groups。

从安全组列表中，为您的 Amazon 选择安全组VPC。除非您创建了供 ElastiCache 使用的安全组，否则该安全组将被命名为 de fault。

选择 Inbound 选项卡，然后执行以下操作：

1. 选择 Edit（编辑）。

2. 选择 添加规则。

3. 在类型列中，选择自定义TCP规则。

4. 在 Port range 框中，为您的集群节点键入端口号。此端口号必须与启动集群时指定的端口号相同。Memcached 的默认端口是 11211 Valkey 和 Redis OSS 的默认端口是。6379

5. 在源框中，选择任何具有端口范围 (0.0.0.0/0) 的任意位置，这样您在亚马逊中启动的任何 Amazon EC2 实例VPC都可以连接到您的节点。 ElastiCache

   重要

   将 ElastiCache 群集开放到 0.0.0.0/0 不会将群集暴露在 Internet 上，因为它没有公有 IP 地址，因此无法从外部访问。VPC但是，默认安全组可以应用于客户账户中的其他 Amazon EC2 实例，并且这些实例可能具有公有 IP 地址。如果这些实例碰巧在默认端口上运行某些内容，则该服务可能会意外暴露。因此，我们建议创建一个仅供使用的VPC安全组 ElastiCache。有关更多信息，请参阅自定义安全组。

6. 选择保存。

在与您的缓存集群VPC相同但在公有子网中创建NAT实例。

默认情况下，VPC向导将启动 cache.m1.sm all 节点类型。您应该根据需求选择节点大小。您必须使用EC2NATAMI才能 ElastiCache 从外部访问 AWS。

有关创建NAT实例的信息，请参阅 AWS VPC用户指南中的NAT实例。

为缓存集群和NAT实例创建安全组规则。

NAT实例安全组和集群实例应具有以下规则：

验证规则。

内存缓存

向NAT实例添加 iptables 规则。

必须将集群中每个节点的 iptables 规则添加到NAT表中，才能将缓存端口从NAT实例转发到群集节点。示例如下所示：

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11211 -j DNAT --to 10.0.1.230:11211

集群中每个节点的端口号必须唯一。例如，如果处理使用端口 11211 - 11213 的三个节点的 Memcached 集群，则规则将如下所示：

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11211 -j DNAT --to 10.0.1.230:11211
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11212 -j DNAT --to 10.0.1.231:11211
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11213 -j DNAT --to 10.0.1.232:11211

确认可信客户端能够连接到集群。

受信任的客户端应连接到与NAT实例EIP关联的，以及与相应群集节点相对应的集群端口。例如，的连接字符串PHP可能如下所示：

$memcached->connect( '203.0.113.73', 11211 );
$memcached->connect( '203.0.113.73', 11212 );
$memcached->connect( '203.0.113.73', 11213 );

也可以使用 telnet 客户端来验证连接。例如：

telnet 203.0.113.73 11211
telnet 203.0.113.73 11212
telnet 203.0.113.73 11213

Valkey 或 Redis OSS

向NAT实例添加 iptables 规则。

必须将集群中每个节点的 iptables 规则添加到NAT表中，才能将缓存端口从NAT实例转发到群集节点。示例如下所示：

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6379 -j DNAT --to 10.0.1.230:6379

集群中每个节点的端口号必须唯一。例如，如果使用端口 6379-6381 使用三节点 Redis OSS 集群，则规则将如下所示：

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6379 -j DNAT --to 10.0.1.230:6379
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6380 -j DNAT --to 10.0.1.231:6379
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6381 -j DNAT --to 10.0.1.232:6379

确认可信客户端能够连接到集群。

受信任的客户端应连接到与NAT实例EIP关联的，以及与相应群集节点相对应的集群端口。例如，的连接字符串PHP可能如下所示：

redis->connect( '203.0.113.73', 6379 );
redis->connect( '203.0.113.73', 6380 );
redis->connect( '203.0.113.73', 6381 );

也可以使用 telnet 客户端来验证连接。例如：

telnet 203.0.113.73 6379
telnet 203.0.113.73 6380
telnet 203.0.113.73 6381

保存 iptables 配置。

在您测试和验证规则之后保存规则。如果您使用基于 Redhat 的 Linux 分发（例如 Amazon Linux），请运行以下命令：

service iptables save