鄧開表同學實戰MongoDB系列文章，非常不錯，贊！大力推薦！

本文主要講述MongoDB的SSL協議加密的使用和配置的實戰經驗，非常值得一看。

前面系列文章：

1

1、前言

加密就是將普通文字——所謂“明文”——轉變為無法直接閱讀的形式——所謂“密文”的過程。而要實現加密，以下兩者缺一不可：加密演算法和加密金鑰（key）。抽象地說，加密的過程就是以明文作為加密演算法的輸入，同時結合預先設定的金鑰，輸出所期待的密文。

2

2 傳輸層加密

MongoDB支援TLS/SSL（傳輸層安全性/安全套接字層）協議加密所有的MongoDB的網路通訊。TLS/SSL確保了MongoDB的網路通訊僅可讀由預定的客戶端。

2.1

2.1 TLS/SSL協議

在今天SSL協議上，公開金鑰和對稱金鑰加密結合使用。SSL是Internet上資料安全傳輸事實上的標準加密機制。MongoDB使用OpenSSL庫來實現TLS/SSL協議加密。MongoDB的SSL加密，只允許使用強大的SSL密碼至少128位金鑰長度對應所有連線。

2.2

2.2 證書

證書頒發機構

在生產環境下，MongoDB應使用有效證書的生成和由一個單一的認證機構簽名。

生成pem檔案

在使用SSL之前，必須有一個包含公鑰證書及其相關私鑰的PEM檔案。

MongoDB可以使用任何有效的SSL證書由證書頒發機構頒發的證書或自簽名證書。如果使用自簽名證書，雖然通訊通道將被加密，但是不會驗證伺服器標識。雖然這種情況會阻止竊聽的連線，它會讓容易受到中間人攻擊。使用由受信任的證書頒發機構簽署的證書將允許MongoDB驅動驗證伺服器的身份。

2.2.1 生成ca.pem及privkey.pem檔案

cd /etc/ssl

openssl req -out ca.pem -new -x509 -days 3650 -subj “/C=CN/ST=/BeiJing/O=bigdata/CN=root/[email protected]”

2.2.2生成服務端PEM檔案：

1) 使用RSA加密演算法生成一個服務端私鑰檔案

openssl genrsa -out server.key 2048

2) 根據金鑰檔案生成一個證書申請檔案

openssl req -key server.key -new -out server.req -subj “/C=CN/ST=BeiJing/O=bigdata/CN=server1/CN=localhost/

3) 根據證書申請檔案生成CA的服務端證書檔案

openssl x509 -req -in server.req -CA ca.pem -CAkey privkey.pem -CAserial file.srl -out server.crt -days 3650

4) 合併證書和私鑰成PEM檔案

cat server.key server.crt > server.pem

5) 驗證服務端證書

Openssl verify -CAfile ca.pem server.pem

2.2.3 生成客戶端PEM檔案：

1) 使用RSA加密演算法生成一個客戶端私鑰檔案

openssl genrsa -out client.key 2048

2) 根據金鑰檔案生成一個證書申請檔案

openssl req -key client.key -new -out client.req -subj "/C=CN/ST=BeiJing/O=bigdata/CN=client1/[email protected]"

3) 根據證書申請檔案生成CA的客戶端證書檔案

openssl x509 -req -in client.req -CA ca.pem -CAkey privkey.pem -CAserial file.srl -out client.crt -days 3650

4) 合併證書及私鑰檔案成PEM檔案

cat client.key client.crt > client.pem

5) 驗證客戶端證書

openssl verify -CAfile ca.pem client.pem

3

3 設定mongod服務的SSL支援

在MongoDB部署使用SSL時，需要配置以下啟動項：

·--sslMode 設定成requiressl。此設定限制每個伺服器只使用SSL加密連線。你也可以指定的值allowssl或preferssl建立混合模式使用SSL埠。

·--sslPEMKeyFile 使用包含SSL證書和金鑰的PEM檔案。

語法格式：

mongod --sslMode requireSSL --sslPEMKeyFile /etc/ssl/mongodb.pem

或者，在配置檔案中新增以下配置：

net:

   ssl:

     mode: requireSSL

     PEMKeyFile: /etc/ssl/mongodb.pem

連線mongod服務和mongos路由伺服器使用SSL，Mongo shell和MongoDB的工具必須包括SSL選項。

4

4 啟動mongod服務並連線mongo shell

mongod --config=/etc/mongod.conf

mongo --ssl --host localhost --sslPEMKeyFile /etc/ssl/client.pem --sslCAFile /etc/ssl/ca.pem

上面可以看到，mongo shell連線時，如果不帶任何選項，則報了network error網路錯誤。這說明MongoDB的客戶端的網路通訊被阻止了。

猜你喜歡

加入技術討論群

《大資料和雲端計算技術》社群群人數已經2500+，歡迎大家加下面助手微信，拉大家進群，自由交流。

喜歡釘釘掃碼下面的群：

喜歡QQ群的，可以掃描下面二維碼：

歡迎大家通過二維碼打賞支援技術社群（英雄請留名，社群感謝您，打賞次數超過55+）：