加密传输（TLS/SSL）

作者：陈川阅读数：40435人阅读分类： MongoDB

加密传输（TLS/SSL）在MongoDB中的应用

MongoDB支持通过TLS/SSL协议对客户端与服务器之间的通信进行加密，确保数据传输的安全性。这种加密方式可以有效防止中间人攻击和数据泄露，特别适用于敏感数据的传输场景。

TLS/SSL的基本原理

TLS（Transport Layer Security）及其前身SSL（Secure Sockets Layer）是用于在计算机网络中提供安全通信的加密协议。它们通过在传输层和应用层之间建立一个安全通道来实现：

身份验证：通过数字证书验证服务器（和可选地客户端）的身份
加密：使用对称加密算法保护数据传输
完整性：通过消息认证码（MAC）确保数据未被篡改

MongoDB支持TLS 1.0、1.1、1.2和1.3版本，但建议禁用较旧的TLS 1.0和1.1版本以提高安全性。

MongoDB中的TLS/SSL配置

服务器端配置

要为MongoDB服务器启用TLS/SSL，需要在配置文件中添加以下参数：

net:
  tls:
    mode: requireTLS
    certificateKeyFile: /path/to/server.pem
    CAFile: /path/to/ca.pem
    allowInvalidCertificates: false

各参数说明：

mode：可以是disabled、allowTLS或requireTLS
certificateKeyFile：包含服务器证书和私钥的文件
CAFile：CA证书文件，用于验证客户端证书
allowInvalidCertificates：是否允许自签名证书（生产环境应设为false）

客户端配置

使用Node.js驱动连接TLS/SSL保护的MongoDB实例：

const { MongoClient } = require('mongodb');

const client = new MongoClient('mongodb://localhost:27017', {
  tls: true,
  tlsCAFile: '/path/to/ca.pem',
  tlsCertificateKeyFile: '/path/to/client.pem',
  tlsAllowInvalidCertificates: false
});

async function run() {
  try {
    await client.connect();
    const db = client.db('test');
    // 执行数据库操作...
  } finally {
    await client.close();
  }
}
run().catch(console.dir);

证书管理

生成自签名证书

对于开发和测试环境，可以使用OpenSSL生成自签名证书：

# 生成CA私钥和证书
openssl req -x509 -newkey rsa:4096 -days 365 -nodes -keyout ca-key.pem -out ca-cert.pem

# 生成服务器私钥和证书签名请求(CSR)
openssl req -newkey rsa:4096 -nodes -keyout server-key.pem -out server-req.pem

# 用CA签署服务器证书
openssl x509 -req -in server-req.pem -days 60 -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem -extfile server-ext.cnf

# 合并服务器证书和私钥
cat server-cert.pem server-key.pem > server.pem

证书验证

MongoDB支持多种证书验证方式：

单向验证（仅服务器提供证书）
双向验证（客户端和服务器都提供证书）
使用系统CA存储验证

性能考虑

启用TLS/SSL会对MongoDB性能产生一定影响，主要体现在：

连接建立时间：TLS握手过程会增加连接建立时间
CPU使用率：加密/解密操作会增加CPU负载
吞吐量：加密通信可能略微降低网络吞吐量

可以通过以下方式优化性能：

使用更高效的加密算法（如AES256-GCM）
启用TLS会话恢复
使用硬件加速（如支持AES-NI的CPU）

常见问题排查

证书验证失败

错误示例：

SSL peer certificate validation failed: self signed certificate in certificate chain

解决方案：

确保CA证书正确配置
检查证书链是否完整
验证证书是否过期

协议版本不匹配

错误示例：

SSL handshake failed: no shared cipher

解决方案：

确保客户端和服务器支持相同的TLS版本
检查加密套件配置

安全最佳实践

禁用旧协议：禁用SSL 3.0、TLS 1.0和TLS 1.1
强加密套件：优先使用AES256-GCM等强加密算法
证书轮换：定期更新服务器和客户端证书
最小权限：为不同客户端颁发不同证书并限制权限
日志监控：监控TLS连接错误和异常

高级配置选项

自定义加密套件

在MongoDB配置文件中可以指定优先使用的加密套件：

net:
  tls:
    ciphers: TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256

OCSP装订

启用OCSP装订可以加快证书吊销检查：

net:
  tls:
    ocspStapling: true

证书撤销列表(CRL)

配置CRL检查以拒绝被吊销的证书：

net:
  tls:
    CRLFile: /path/to/crl.pem

实际应用场景

分片集群中的TLS

在分片集群中，所有组件间的通信都应启用TLS：

# 配置服务器配置示例
sharding:
  clusterRole: configsvr
net:
  tls:
    mode: requireTLS
    certificateKeyFile: /path/to/configsvr.pem
    CAFile: /path/to/ca.pem

副本集成员间通信

确保副本集成员间通信安全：

replication:
  replSetName: rs0
net:
  tls:
    mode: requireTLS
    certificateKeyFile: /path/to/member.pem
    CAFile: /path/to/ca.pem
    clusterFile: /path/to/internal.pem  # 用于成员间认证

客户端证书认证

强制客户端提供有效证书进行身份验证：

net:
  tls:
    mode: requireTLS
    certificateKeyFile: /path/to/server.pem
    CAFile: /path/to/ca.pem
    allowConnectionsWithoutCertificates: false

对应的Node.js客户端连接代码：

const client = new MongoClient(uri, {
  tls: true,
  tlsCAFile: '/path/to/ca.pem',
  tlsCertificateKeyFile: '/path/to/client.pem',
  authMechanism: 'MONGODB-X509',
  authSource: '$external'
});

证书主题替代名称

当MongoDB部署使用多个主机名时，需要在证书中包含SAN（Subject Alternative Name）：

[req_ext]
subjectAltName = @alt_names

[alt_names]
DNS.1 = mongodb1.example.com
DNS.2 = mongodb2.example.com
IP.1 = 192.168.1.100

证书透明度

考虑为公共证书启用证书透明度（Certificate Transparency）日志：

# 使用Let's Encrypt证书时自动提交CT日志
certbot certonly --standalone -d mongodb.example.com --preferred-challenges http --must-staple

做个网站！

本站部分内容来自互联网,一切版权均归源网站或源作者所有。

如果侵犯了你的权益请来信告知我们删除。邮箱：cc@cccx.cn

上一篇：用户管理与访问控制

下一篇：数据加密（字段级加密、存储加密）

加密传输（TLS/SSL）