访问您的集群或复制组

登录到 Amazon Web Services Management Console 并打开 Amazon EC2 控制台（https://console.aws.amazon.com/ec2/）。

在导航窗格中的 Network & Security 下，选择 Security Groups。

从安全组列表中，为 Amazon VPC 选择安全组。除非创建安全组供 ElastiCache 使用，否则此安全组将命名为 default。

选择 Inbound 选项卡，然后执行以下操作：

1. 选择 Edit（编辑）。

2. 选择添加规则。

3. 在 Type 列中，选择 Custom TCP rule。

4. 在 Port range 框中，为您的集群节点键入端口号。此端口号必须与启动集群时指定的端口号相同。 Redis 的默认端口是 6379。

5. 在 Source（源）框中，选择端口范围为 (0.0.0.0/0) 的 Anywhere（任何位置），以便从 Amazon VPC 中启动的任何 Amazon EC2 实例都可以连接到您的 ElastiCache 节点。

   重要

   向 0.0.0.0/0 公开 ElastiCache 集群时，不会在互联网上公开集群，因为它没有公有 IP 地址，因此无法从 VPC 外部访问。但是，默认安全组可以应用到客户账户中的其他 Amazon EC2 实例，这些实例可能具有公有 IP 地址。如果这些实例碰巧在默认端口上运行某些内容，则该服务可能会意外暴露。因此，我们建议创建将由 ElastiCache 独占使用的 VPC 安全组。有关更多信息，请参阅自定义安全组。

6. 选择 Save（保存）。

在与缓存群集相同的 VPC 中创建 NAT 实例，但位于公有子网上。

默认情况下，VPC 向导将启动 cache.m1.small 节点类型。您应该根据需求选择节点大小。您必须使用 EC2 NAT AMI 才能从 Amazon 外部访问 ElastiCache。

有关创建 NAT 实例的信息，请参阅《Amazon VPC 用户指南》中的 NAT 实例。

为缓存群集和 NAT 实例创建安全组规则。

NAT 实例安全组和集群实例应具有以下规则：

验证规则。

将 iptables 规则添加到 NAT 实例。

必须为集群中的每个节点将 iptables 规则添加到 NAT 表，以便将缓存端口从 NAT 实例转发到集群节点。示例如下所示：

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6379 -j DNAT --to 10.0.1.230:6379

集群中每个节点的端口号必须唯一。例如，如果是三个节点的 Redis 集群，使用端口 6379 - 6381，则规则将如下所示：

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6379 -j DNAT --to 10.0.1.230:6379
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6380 -j DNAT --to 10.0.1.231:6379
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6381 -j DNAT --to 10.0.1.232:6379

确认可信客户端能够连接到集群。

可信客户端应连接到与 NAT 实例关联的 EIP 以及对应于相应集群节点的集群端口。例如，PHP 的连接字符串如下所示：

redis->connect( '203.0.113.73', 6379 );
redis->connect( '203.0.113.73', 6380 );
redis->connect( '203.0.113.73', 6381 );

也可以使用 telnet 客户端来验证连接。例如：

telnet 203.0.113.73 6379
telnet 203.0.113.73 6380
telnet 203.0.113.73 6381

保存 iptables 配置。

在您测试和验证规则之后保存规则。如果您使用基于 Redhat 的 Linux 分发（例如 Amazon Linux），请运行以下命令：

service iptables save