假设服务器 1 位于 5:5:5:5:11211，服务器 2 位于 25.25.25.25:11211。您将它们添加到服务器池中，一切都很好。直到有人连接到该端口并开始弄乱您的数据。
所以我们把端口改成38295。比较难找，但也不是不可能，所以还是不够用。
我的问题是：
1) 您可以为 memcached 服务器设置身份验证（用户名/密码）以验证连接吗？您能否将特定主机/IP 列入白名单（可能是个坏主意）？
2) 您可以并且应该保护通过 Internet 传输的数据吗？数据是原始格式，您的 ISP 和嗅探线路的任何人都可以看到正在发送的所有数据。但是加密数据可能会影响性能？
有哪些解决方案可用于设置 memcached 服务器集群以及如何保护和验证它们？
【问题讨论】：
满足我需求的解决方案是按照 sumoanand 的建议设置 iptables 条目。这就是我的工作。
使用类似这样的方式启动 memcached：
/usr/bin/memcached -p 11211 -l 0.0.0.0 -d -u www-data -m 12288
请记住，-l 参数设置为0.0.0.0，这实际上允许来自任何来源的连接。如果你保持标准127.0.0.1 这将不起作用。
接下来，我们对 iptables 进行条目。如果您的 memcached 服务器在您的 LAN 上，则以下命令将只允许来自特定本地服务器的连接。
例如，为了将192.168.1.100 添加到允许列表中，我们发出命令：
iptables -A INPUT -p tcp -s 192.168.1.100 --dport 11211 -j ACCEPT
如果您想将远程服务器列入白名单，例如25.62.25.62，则发出另一个命令：
iptables -A INPUT -p tcp -s 25.62.25.62 --dport 11211 -j ACCEPT
您可以根据需要将任意数量的 IP 列入白名单，但请务必发出阻止该端口上所有其他连接的最终命令。
iptables -A INPUT -p tcp --dport 11211 -j REJECT
IPtables 是按照输入顺序读取的，因此如果您在发布任何 ACCEPT 规则之前发布 REJECT ALL 语句，所有连接都将被拒绝（即使是列入白名单的连接）。
但是，以这种方式发送的数据仍未以任何方式加密。任何拦截您的 memcached 服务器和远程服务器（数据包嗅探器、ISP）的东西都将能够看到完全原始的数据。
【讨论】：
我认为我们不需要像 Mike 提到的那样在这里寻求复杂的解决方案。
假设您的 Web 服务器（web1、web2、web3）需要通过位于同一内部网络中的 11211 端口从 memcache 服务器（mem1 和 mem2）获取数据，并且每个 Web 服务器的内部 IP 地址以 172.221 开头。 ..
在这种情况下，您可以在 mem1 和 mem2 服务器的 ip-table 中设置一个限制，以仅接受来自 172.221 的请求。. 11211 端口。
希望这会有所帮助。
【讨论】：
Memcached 现在支持 SASL。这将允许您对 memchaced 服务执行强身份验证。这是一篇关于如何使用 memcached 设置 SASL 的好文章。
【讨论】：
php5-memcache 客户端是否对其进行身份验证？我已经研究过 SASL，但我仍然对客户端如何对其进行身份验证感到困惑，因为我没有看到任何这样做的功能