mongodb配置ssl加密是为了防止中间人攻击，保障客户端与服务器之间数据传输的安全性。操作步骤包括生成ssl证书、修改mongodb配置文件、设置客户端连接参数。首先使用openssl工具生成私钥、csr及自签名证书，生产环境建议使用ca签发证书。其次在mongod.conf中启用ssl并指定pemkeyfile路径，重启服务生效。最后客户端连接时需添加ssl及证书参数。验证方法为尝试无ssl连接是否失败，并检查日志信息。常见问题包括证书路径错误、防火墙阻止端口、格式错误或客户端未提供证书。若使用ca证书，还需配置cafile并确保客户端信任该ca。启动失败提示ssl错误时，应检查路径权限、证书格式及有效性。
MongoDB配置SSL加密，是为了确保客户端和服务器之间的数据传输是加密的，防止中间人攻击，保障数据的安全性。简单来说，就是给你的MongoDB穿上一层“盔甲”，让坏人没法轻易窃取信息。
配置SSL加密涉及到生成证书、修改MongoDB配置文件以及客户端连接时的参数设置。下面我们来详细说说怎么操作。
生成SSL证书
首先，你需要生成SSL证书。这可以用openssl工具来完成。如果你还没有安装，需要先安装一下。
# 生成私钥 openssl genrsa -out mongodb.key 2048 # 生成证书签名请求 (CSR) openssl req -new -key mongodb.key -out mongodb.csr # 使用私钥和CSR生成自签名证书 openssl x509 -req -days 365 -in mongodb.csr -signkey mongodb.key -out mongodb.crt # 可选：生成PEM文件，包含私钥和证书 cat mongodb.key mongodb.crt > mongodb.pem
这里解释一下：
-
genrsa生成私钥，这是你的秘密武器。 -
req生成证书签名请求，需要填写一些信息，比如国家、组织等等。 -
x509使用私钥和CSR生成证书，有效期365天。 - 最后一步是可选的，将私钥和证书合并成一个PEM文件，方便MongoDB使用。
注意，在生产环境中，建议使用由权威CA机构签发的证书，而不是自签名证书。
修改MongoDB配置文件
接下来，修改MongoDB的配置文件（通常是mongod.conf或mongod.cfg）。你需要启用SSL，并指定证书文件的路径。
net:
port: 27017
bindIp: 127.0.0.1
ssl:
mode: requireSSL # 强制使用SSL
PEMKeyFile: /path/to/mongodb.pem # 证书文件路径
# clusterFile: /path/to/mongodb.pem # 如果是副本集或分片集群，需要指定集群证书
# CAFile: /path/to/ca.pem # 如果使用了CA签发的证书，需要指定CA证书-
mode: requireSSL表示强制使用SSL连接。 -
PEMKeyFile指定包含私钥和证书的PEM文件路径。 -
clusterFile和CAFile是可选的，用于副本集/分片集群和CA签发的证书。
修改完配置文件后，重启MongoDB服务。
客户端连接
客户端连接时，也需要指定SSL参数。不同的客户端驱动程序可能有不同的方式，但基本思路是一样的。
例如，在MongoDB shell中：
mongo "mongodb://127.0.0.1:27017/?ssl=true&sslPEMKeyFile=/path/to/mongodb.pem"
或者，在Python中使用PyMongo：
from pymongo import MongoClient
client = MongoClient('mongodb://127.0.0.1:27017/?ssl=true&sslPEMKeyFile=/path/to/mongodb.pem')
db = client.mydatabase注意，客户端也需要提供证书文件。
如何验证SSL是否生效？
最简单的方法就是用不带SSL参数的客户端连接MongoDB。如果配置正确，应该连接失败。
另外，你可以查看MongoDB的日志文件，看看是否有SSL相关的错误信息。
SSL配置失败的常见原因及解决办法
-
证书路径错误：确保
PEMKeyFile指定的路径是正确的，文件存在且MongoDB进程有读取权限。 - 端口被防火墙阻止：确保防火墙允许27017端口的流量。
- 证书格式错误：确保证书是PEM格式，并且包含私钥和证书。
- 客户端没有提供证书：客户端连接时需要指定SSL参数和证书文件。
如何使用CA签发的证书？
如果使用了CA签发的证书，需要在MongoDB配置文件中指定CAFile参数，指向CA证书文件。客户端连接时也需要指定CA证书。
net:
port: 27017
bindIp: 127.0.0.1
ssl:
mode: requireSSL
PEMKeyFile: /path/to/mongodb.pem
CAFile: /path/to/ca.pem客户端连接：
mongo "mongodb://127.0.0.1:27017/?ssl=true&sslPEMKeyFile=/path/to/mongodb.pem&sslCAFile=/path/to/ca.pem"
为什么我的MongoDB启动失败，提示SSL相关错误？
这通常是因为证书配置有问题。仔细检查mongod.conf文件中的PEMKeyFile和CAFile路径是否正确，文件是否存在，以及MongoDB进程是否有读取权限。
另外，证书格式也可能存在问题。确保证书是PEM格式，并且包含私钥和证书。可以使用openssl命令来验证证书的有效性。
openssl x509 -in /path/to/mongodb.pem -text -noout
这个命令会显示证书的详细信息，可以用来检查证书是否过期，以及是否包含私钥。
