Tentang enkripsi saat transit

Halaman ini memberikan ringkasan enkripsi dalam pengiriman untuk Memorystore for Redis.

Untuk mengetahui petunjuk cara mengenkripsi koneksi dengan enkripsi dalam pengiriman, lihat Mengaktifkan enkripsi dalam pengiriman.

Memorystore for Redis hanya mendukung protokol TLS versi 1.2 atau yang lebih tinggi.

Pengantar

Memorystore for Redis mendukung enkripsi semua traffic Redis menggunakan protokol Transport Layer Security (TLS). Saat enkripsi dalam pengiriman diaktifkan, klien Redis berkomunikasi secara eksklusif melalui koneksi port yang aman. Klien Redis yang tidak dikonfigurasi untuk TLS akan diblokir. Jika Anda memilih untuk mengaktifkan enkripsi dalam pengiriman, Anda bertanggung jawab untuk memastikan bahwa klien Redis Anda dapat menggunakan protokol TLS.

Prasyarat enkripsi dalam pengiriman

Untuk menggunakan enkripsi dalam pengiriman dengan Memorystore for Redis, Anda memerlukan:

  1. Klien Redis yang mendukung TLS atau sidecar TLS pihak ketiga
  2. Otoritas Sertifikat yang diinstal di mesin klien yang mengakses instance Redis Anda

TLS native tidak didukung sebelum Redis versi 6.0 open source. Akibatnya, tidak semua library klien Redis mendukung TLS. Jika Anda menggunakan klien yang tidak mendukung TLS, sebaiknya gunakan plugin pihak ketiga Stunnel yang mengaktifkan TLS untuk klien Anda. Lihat Menghubungkan ke instance Redis dengan aman menggunakan Stunnel dan telnet untuk mengetahui contoh cara menghubungkan ke instance Redis dengan Stunnel.

Otoritas Sertifikat

Instance Redis yang menggunakan enkripsi dalam pengiriman memiliki satu atau beberapa Otoritas Sertifikat (CA) unik yang digunakan untuk memverifikasi identitas server. CA adalah string yang harus Anda download dan instal di klien yang mengakses instance Redis Anda. CA berlaku selama sepuluh tahun sejak tanggal pembuatannya. Untuk memastikan kelangsungan layanan, CA baru harus diinstal di klien instance Redis sebelum CA sebelumnya berakhir masa berlakunya.

Rotasi Otoritas Sertifikat

Setelah Anda membuat instance dengan enkripsi dalam pengiriman, CA akan berlaku selama 10 tahun. Selain itu, lima tahun setelah Anda membuat instance, Memorystore for Redis akan membuat CA baru dan menyediakannya.

CA lama tetap berlaku hingga tanggal habis masa berlakunya, sehingga Anda memiliki jangka waktu lima tahun untuk mendownload dan menginstal CA baru ke klien yang terhubung ke instance Redis. Setelah CA lama habis masa berlakunya, Anda dapat meng-uninstal CA tersebut dari klien.

Rotasi sertifikat server

Rotasi sertifikat sisi server terjadi setiap 180 hari dan menyebabkan koneksi terputus sementara selama beberapa detik. Anda harus memiliki logika percobaan ulang dengan backoff eksponensial untuk membuat ulang koneksi. Rotasi sertifikat tidak menyebabkan failover untuk instance Tingkat Standar.

Batas koneksi untuk enkripsi dalam pengiriman

Mengaktifkan enkripsi dalam pengiriman pada instance Redis Anda akan memberikan batas pada jumlah maksimum koneksi klien yang dapat dimiliki instance Anda. Batas ini bergantung pada ukuran instance Anda. Anda harus mempertimbangkan untuk meningkatkan ukuran instance Redis jika memerlukan lebih banyak koneksi daripada yang didukung oleh tingkat kapasitas Anda saat ini.

Tingkat kapasitas Jumlah maksimum koneksi untuk Redis versi 4.0, 5.0, dan 6.x1 Jumlah maksimum koneksi untuk Redis versi 7.0 dan yang lebih baru1
M1 (1-4GB) 1000 65.000
M2 (5-10GB) 2.500 65.000
M3 (11-35GB) 15.000 65.000
M4 (36-100GB) 30.000 65.000
M5 (101+GB) 65.000 65.000

1 Batas koneksi ini bersifat perkiraan, dan bergantung pada kecepatan dan kompleksitas perintah Redis yang dikirim per koneksi.

Memantau koneksi

Karena instance Redis dengan enkripsi dalam pengiriman memiliki batas koneksi tertentu, Anda harus memantau metrik redis.googleapis.com/clients/connected untuk memastikan Anda tidak melebihi batas koneksi. Jika batas terlampaui, instance Redis akan menolak koneksi yang baru dicoba. Dalam situasi ini, sebaiknya tingkatkan skala instance Anda ke ukuran yang mengakomodasi jumlah koneksi yang diperlukan. Jika Anda menduga bahwa koneksi tidak aktif merupakan jumlah koneksi yang signifikan dari koneksi Anda, Anda dapat menghentikan koneksi ini secara proaktif dengan parameter konfigurasi timeout.

Dampak performa dari mengaktifkan enkripsi dalam pengiriman

Fitur enkripsi dalam pengiriman mengenkripsi dan mendekripsi data, yang disertai dengan overhead pemrosesan. Akibatnya, mengaktifkan enkripsi dalam pengiriman dapat mengurangi performa. Selain itu, saat menggunakan enkripsi dalam pengiriman, setiap koneksi tambahan akan dikenai biaya resource terkait. Untuk menentukan latensi yang terkait dengan penggunaan enkripsi dalam pengiriman, bandingkan performa aplikasi dengan melakukan benchmark performa aplikasi dengan instance Redis yang mengaktifkan enkripsi dalam pengiriman dan instance Redis yang menonaktifkannya.

Panduan untuk meningkatkan performa

  • Kurangi jumlah koneksi klien jika memungkinkan. Buat dan gunakan kembali koneksi yang berjalan lama, bukan membuat koneksi yang berjalan singkat sesuai permintaan.
  • Tingkatkan ukuran instance Memorystore Anda (sebaiknya M4 atau yang lebih besar).
  • Tingkatkan resource CPU mesin host klien Memorystore. Mesin klien dengan jumlah CPU yang lebih tinggi akan menghasilkan performa yang lebih baik. Jika menggunakan VM Compute Engine, sebaiknya gunakan instance yang dioptimalkan untuk komputasi.
  • Kurangi ukuran payload yang terkait dengan traffic aplikasi karena payload yang lebih besar memerlukan lebih banyak perjalanan pulang pergi.

Dampak enkripsi dalam pengiriman pada penggunaan memori

Mengaktifkan enkripsi dalam pengiriman akan mencadangkan sebagian memori instance Redis Anda untuk fitur tersebut. Dengan mengaktifkan enkripsi dalam pengiriman, nilai untuk metrik Rasio Penggunaan Memori Sistem akan lebih tinggi karena memori overhead tambahan yang digunakan oleh fitur tersebut.

Peningkatan performa Redis versi 7.0

Menggunakan Redis versi 7.0 di Memorystore for Redis akan meningkatkan performa enkripsi dalam pengiriman. Untuk memanfaatkan peningkatan performa ini, pertimbangkan untuk mengupgrade instance Anda agar menggunakan Redis versi 7.0. Dengan menggunakan versi ini, Memorystore for Redis tidak akan menghentikan koneksi yang Anda gunakan untuk merotasi sertifikat server atau melakukan operasi pembaruan.

Langkah berikutnya