Nacos2.4.0安全加固实战：从零配置admin用户与集群鉴权

1. 为什么说Nacos 2.4.0的安全加固是“必修课”？

如果你用过Nacos的早期版本，尤其是2.3.x或更早的，可能会发现一个“公开的秘密”：默认安装后，直接访问http://你的IP:8848/nacos，就能大摇大摆地进入控制台，对所有的服务、配置进行查看和修改，完全不需要密码。这感觉就像你家大门常年不锁，谁都能进来坐坐。在开发测试环境可能问题不大，但一旦放到生产环境，这简直就是个“定时炸弹”。我见过不少团队，因为图省事或者安全意识不足，直接把默认无鉴权的Nacos暴露在了公网或内网中，结果导致配置信息泄露、服务被恶意下线，甚至整个微服务架构被“一锅端”。

Nacos 2.4.0版本在安全方面做了一个非常重要的改变：它不再为内置的nacos用户提供一个默认的、众所周知的密码（比如nacos）。这意味着，即使你开启了鉴权，如果不进行初始化，连默认的nacos用户都无法登录。这个设计强制要求管理员在部署后必须主动设置一个强密码，从根本上杜绝了“弱口令”或“空口令”的风险。这就像给你的保险箱换了一把没有默认钥匙的锁，你必须自己亲手打造第一把钥匙。

除了用户密码，2.4.0还带来了另一个重量级安全特性：支持集群节点间的TLS Grpc通信。在之前的版本里，Nacos集群节点之间的数据同步和心跳检测是通过普通的Grpc协议进行的，数据在传输过程中是明文的。想象一下，如果你的集群部署在不同的服务器或机房，它们之间的网络通信如果被窃听，那么服务注册表、配置信息等核心数据就可能暴露。现在，你可以为集群内部通信也套上“加密隧道”，让节点间的对话也变得私密和安全。

所以，无论你是个人开发者搭建学习环境，还是团队在生产环境部署，从Nacos 2.4.0开始，认真对待安全配置，已经从一个“可选项”变成了“必选项”。接下来的内容，我会手把手带你完成从零开始的安全加固全过程，涵盖单机和集群两种场景，让你部署的Nacos既好用又“牢靠”。

2. 部署Nacos 2.4.0：单机与集群模式快速上手

安全加固的第一步，是先把Nacos服务跑起来。2.4.0的部署方式和之前版本大同小异，但为了内容的完整性，我还是快速过一遍。你可以从Nacos的GitHub Release页面或者官网下载nacos-server-2.4.0.tar.gz（Linux）或nacos-server-2.4.0.zip（Windows）安装包。

单机模式部署是最简单的，适合开发、测试或者小规模应用。解压后，进入bin目录，执行启动命令即可。这里有个小细节，2.x版本后，除了传统的8848端口（HTTP API和控制台），还新增了9848和9849端口用于Grpc通信，所以如果你的服务器有防火墙，记得一并开放。

# Linux/Unix/Mac tar -zxvf nacos-server-2.4.0.tar.gz cd nacos/bin sh startup.sh -m standalone # Windows # 解压 zip 文件后，进入 bin 目录 startup.cmd -m standalone

启动成功后，访问http://localhost:8848/nacos，你应该能看到Nacos的欢迎页面。此时，由于鉴权未开启，你可以直接进入，无需登录。但请注意，这只是暂时的“便利”。

集群模式部署则用于生产环境，提供高可用性。你需要准备至少三台服务器（或者三个不同的端口模拟）。核心步骤是修改conf/cluster.conf文件，列出所有集群节点的IP和端口（注意是8848端口，不是9848）。例如：

# cluster.conf 示例 192.168.1.101:8848 192.168.1.102:8848 192.168.1.103:8848

然后，分别在三台机器上，使用sh startup.sh（不加-m standalone参数）启动即可。集群模式下，数据会通过Raft协议在节点间同步。在开始安全配置前，请确保你的集群能正常启动并互相通信。

3. 核心实战：初始化admin用户与开启基础鉴权

现在，我们进入最关键的部分——开启鉴权并初始化管理员密码。这是保护Nacos的第一道，也是最重要的一道防线。所有操作都围绕conf/application.properties这个核心配置文件展开。

第一步：生成并配置JWT令牌密钥Nacos的鉴权基于JWT（JSON Web Token）。服务端需要一个密钥（Secret Key）来签发和验证这些Token。这个密钥必须足够复杂，且所有节点必须保持一致。官方推荐使用Base64编码的字符串，且原始密钥长度不低于32个字符。

我强烈建议你不要使用文档或网上随便能找到的示例密钥。自己生成一个。在Linux下，你可以用openssl命令快速生成一个强随机字符串并进行Base64编码：

# 生成一个48字节的随机字符串，并用Base64编码 openssl rand -base64 48

你会得到一个类似VGhpcyBpcyBhIHN1cGVyIHNlY3JldCBrZXkgZm9yIE5hY29zIDIuNC4wISEh的字符串。复制它。

打开conf/application.properties文件，找到或添加以下配置项：

### 用于生成JWT令牌的密钥，必须为Base64编码字符串，且原始密钥长度>=32字符 nacos.core.auth.plugin.nacos.token.secret.key=VGhpcyBpcyBhIHN1cGVyIHNlY3JldCBrZXkgZm9yIE5hY29zIDIuNC4wISEh

第二步：配置服务端身份标识这个配置用于集群节点间内部通信时的身份校验，防止非法节点加入集群。你可以把它想象成集群内部的“暗号”。

### 服务端身份标识的Key和Value，集群内所有节点必须一致 nacos.core.auth.server.identity.key=ServerIdentity2024 nacos.core.auth.server.identity.value=MySecureClusterToken

这里的key和value你可以自定义，但同样建议使用一个不易猜测的字符串。确保集群中每一个节点的这两个值都一模一样。

第三步：开启鉴权开关这是最后一步，也是最简单的一步。

### 开启鉴权系统 nacos.core.auth.system.type=nacos nacos.core.auth.enabled=true

将nacos.core.auth.enabled设置为true，鉴权功能就打开了。这里有个好消息：修改鉴权相关的配置，大多数情况下不需要重启Nacos服务！配置是热加载的。保存application.properties文件后，Nacos会在几秒内感知到变化并生效。

第四步：初始化admin用户密码现在，刷新你的Nacos控制台（http://localhost:8848/nacos）。你会发现，熟悉的直接进入不见了，取而代之的是一个初始化管理员密码的页面。这就是2.4.0的新特性。

你可以在这里为默认的nacos用户设置一个新密码。请务必设置一个高强度密码（包含大小写字母、数字、特殊字符，且长度大于12位）。如果你留空并点击提交，系统会为你生成一个随机密码，请务必立即妥善保存这个随机密码，因为它只显示一次。

除了在控制台初始化，你也可以通过API来完成，这在自动化部署脚本中非常有用：

curl -X POST 'http://localhost:8848/nacos/v1/auth/users' \ -H 'Content-Type: application/x-www-form-urlencoded' \ -d 'username=nacos&password=YourStrongPassword@123'

执行成功后，你就可以用用户名nacos和你设置的密码登录控制台了。至此，基础鉴权已经开启，你的Nacos再也不是“不设防的城市”了。

4. 集群安全进阶：配置节点间TLS加密通信

基础鉴权保护了外部客户端（比如你的Spring Boot应用）与Nacos服务器之间的通信。但是，在集群部署中，Nacos各个节点之间（比如上面配置的101、102、103这三台机器）也会频繁通信，同步服务实例、配置数据等。在2.4.0之前，这些内部通信默认是不加密的。如果你的集群节点部署在不同的网络区域，或者你对内部网络安全有更高要求，那么启用节点间的TLS加密就非常有必要了。

准备工作：生成TLS证书你需要为集群准备一套TLS证书和私钥。在生产环境，你应该使用由可信CA签发的证书。为了测试和内部环境，我们可以用openssl自签名生成一套。

# 1. 生成私钥 openssl genrsa -out nacos-cluster.key 2048 # 2. 生成证书签名请求 (CSR) openssl req -new -key nacos-cluster.key -out nacos-cluster.csr -subj "/C=CN/ST=Zhejiang/L=Hangzhou/O=MyCompany/OU=Dev/CN=nacos.cluster.local" # 3. 生成自签名证书 (有效期为365天) openssl x509 -req -days 365 -in nacos-cluster.csr -signkey nacos-cluster.key -out nacos-cluster.crt

执行后，你会得到nacos-cluster.key（私钥）和nacos-cluster.crt（证书）两个文件。将这两个文件分发到每一个Nacos集群节点的conf目录下。

配置Nacos启用集群TLS在每个节点的conf/application.properties文件中，添加以下配置：

### 开启集群间TLS通信 nacos.core.auth.enable.userAgentAuthWhite=false # TLS证书文件路径，相对于Nacos主目录或绝对路径 nacos.core.auth.plugin.nacos.tls.certificate=conf/nacos-cluster.crt nacos.core.auth.plugin.nacos.tls.privateKey=conf/nacos-cluster.key # 是否验证对端证书，集群内部可设为false简化配置，生产环境建议为true nacos.core.auth.plugin.nacos.tls.trustAll=false # 信任证书库路径，如果需要验证对端证书，需配置 # nacos.core.auth.plugin.nacos.tls.trustCollectionCertFile=conf/trust-store.crt

关键参数解读：

• nacos.core.auth.enable.userAgentAuthWhite：这个参数通常为了兼容老版本客户端而设，在开启TLS的纯净新环境中，建议设为false。
• certificate和privateKey：指向你刚才生成的证书和私钥文件。
• trustAll：如果设为true，节点将信任任何对端证书，不安全。建议设为false，并配置trustCollectionCertFile指向一个包含集群所有节点证书的信任库文件（可以将所有节点的nacos-cluster.crt合并成一个文件）。

配置集群节点地址（使用TLS）修改每个节点的conf/cluster.conf文件，节点地址需要指向9849端口，这是加密通信的专用端口，并在地址前加上https://前缀。

# 修改后的 cluster.conf 示例 https://192.168.1.101:9849 https://192.168.1.102:9849 https://192.168.1.103:9849

重启集群由于TLS配置涉及网络通信模块的深层调整，修改后需要重启所有Nacos节点。重启时，观察日志文件logs/start.out或logs/nacos.log，搜索 “TLS” 关键词，确认没有错误，并且节点之间能够成功建立连接。

完成以上步骤后，你的Nacos集群内部的所有数据同步流量都将被TLS加密，即使数据包被截获，攻击者也无法解密其中的内容，为你的微服务架构又增加了一层坚实的内网通信安全保障。

5. 配置文件详解：application.properties关键安全参数调优

经过前面的实战，我们已经配置了几个核心的安全参数。但application.properties里还有不少和安全、性能相关的配置项值得关注。理解它们，能让你更好地驾驭Nacos。我把它们整理成了一个表格，方便你查阅和调整。

这里重点说一下Token缓存 (token.cache.enable)。当客户端使用用户名密码调用/nacos/v1/auth/login接口获取Token后，后续请求都会携带这个Token。服务端每次都需要验证这个Token的签名和有效期。如果验证逻辑很频繁（比如每秒数万次），会对CPU造成压力。开启缓存后，验证过的Token会被短暂缓存，后续请求直接比对缓存，性能提升显著。根据官方说明，开启后，权限更新（如用户密码修改、权限变更）生效可能会有最多15秒的延迟，你需要根据业务对实时性的要求来权衡。

6. 避坑指南：常见问题与故障排查

安全加固的路上难免会遇到一些“坑”。下面是我总结的几个最常见的问题和解决方法，希望能帮你少走弯路。

问题一：开启鉴权后，Spring Boot客户端无法连接，报401或user not found。

这是最常见的问题。原因是你只在服务端开启了鉴权，但客户端没有配置用户名密码。

• 解决方案：在你的Spring Boot项目的application.yml或application.properties中，为Nacos客户端添加认证信息。

  spring: cloud: nacos: discovery: server-addr: localhost:8848 username: nacos # 你初始化设置的用户名 password: YourStrongPassword@123 # 对应的密码 config: server-addr: localhost:8848 username: nacos password: YourStrongPassword@123

  对于非Spring Cloud Alibaba的客户端，比如直接使用nacos-clientSDK，也需要在Properties中设置username和password。

问题二：集群节点启动失败，日志显示节点间认证失败或无法连接。

这通常是由于集群安全配置不一致导致的。

• 检查点1：确保所有节点的nacos.core.auth.server.identity.key和nacos.core.auth.server.identity.value完全一致，包括大小写和空格。
• 检查点2：如果启用了TLS，检查所有节点的证书、私钥文件是否已正确放置，并且cluster.conf中的地址是否已改为https://ip:9849格式。
• 检查点3：检查防火墙是否放行了8848、9848和9849端口。9848是客户端与服务器的Grpc端口，9849是服务器间的Grpc端口，两者都至关重要。

问题三：修改token.secret.key后，所有已登录用户Token失效，客户端报403 invalid token。

正如配置项说明所言，修改JWT密钥会导致之前签发的所有Token立即失效。

• 正确操作：修改密钥后，所有客户端（包括控制台用户）需要重新登录获取新的Token。对于应用程序，重启服务会触发重新登录。因此，切勿在生产环境频繁或无计划地修改此密钥。
• 最佳实践：在首次部署时就设置一个强密钥，并做好备份。除非怀疑密钥泄露，否则不要轻易更改。

问题四：从旧版本（如2.2.x）升级到2.4.0后，原来的nacos/nacos密码不能用了。

这是预期行为。2.4.0移除了默认密码。如果你是从旧版本升级上来的，并且之前已经修改过nacos用户的密码，那么升级后原有的用户密码数据会保留，你可以继续使用旧密码登录。如果之前没改过，用的是默认的nacos密码，那么升级后，nacos用户会处于“未初始化密码”状态，你需要按照本文第三部分的方法，通过控制台或API为其初始化一个新密码。

问题五：开启了鉴权，但感觉控制台操作变慢了。

可以考虑开启之前提到的Token缓存(nacos.core.auth.plugin.nacos.token.cache.enable=true)。这能有效减少服务端验证Token的计算开销。同时，确保你生成的token.secret.key不是过于复杂的超长字符串，标准的Base64编码的32字节以上原始密钥即可，过长的密钥在签名/验证时也会消耗更多计算资源。

安全配置是一个平衡艺术，需要在安全性、便利性和性能之间找到最佳结合点。通过理解每个参数的含义，并结合你自身的业务场景进行调整，你就能搭建出一个既安全又高效的Nacos注册配置中心。记住，安全不是一次性的工作，定期审计密码强度、关注Nacos社区的安全公告、及时更新版本，都是长期运维中不可或缺的环节。