MongoDB 通过 SSL 连接：我做错了什么？答案

【问题标题】：MongoDB connecting over SSL: What am I doing wrong?MongoDB 通过 SSL 连接：我做错了什么？
【发布时间】：2018-07-23 23:45:30
【问题描述】：

概述：我有一个运行 PHP 7 的应用程序服务器，使用 MongoDB PHP 用户空间库连接到运行 MongoDB 3.6.x 的单独数据库服务器。我有防火墙规则阻止从除本地和私有接口之外的所有来源访问 MongoDB 服务器（即禁止公共 IP 访问）。

通过 PHP 的连接看起来像这样：

$context_information = array(
    "ssl" => array(
        "allow_self_signed" => false,
        "verify_peer"       => true,
        "verify_peer_name"  => true,
        "verify_expiry"     => true,
        "cafile"            => "/path/to/ca_bundle"
));

$context = stream_context_create($context_information);
$connection = new MongoDB\Client(
    $host,
    array('ssl'=>true),
    array('context'=> $context)
);

我的 MongoDB 配置如下所示：

net:
  port: 27017
  bindIp: 127.0.0.1,10.138.196.241
  ssl:
    mode: requireSSL
    PEMKeyFile: /path/to/my_ca_signed_cert
    CAFile: /path/to/my_ca_bundle

my_ca_signed_cert 是使用我的 openssl 生成的 RSA 私钥以及 CA 提供的 .crt 文件生成的 .pem 文件，以 MongoDB 手册中描述的方式，例如cat mongodb.key mongodb.crt > mongodb.pem。 my_ca_bundle 是 CA 提供给我的 .ca-bundle。

此外，PHP 上下文中描述的 ca_bundle 与 MongoDB 配置中的 .ca-bundle 文件相同。

问题：我继续收到以下错误：

[23-Jul-2018 16:33:33 America/Los_Angeles] PHP 致命错误：未捕获的 MongoDB\Driver\Exception\ConnectionTimeoutException：未找到合适的服务器（serverSelectionTryOnce 设置）：[TLS 握手失败：错误：14090086 :SSL 例程:ssl3_get_server_certificate:certificate verify 调用 ismaster 失败。 . .

即使我注释掉 MongoDB 配置的 CAFile 行，此问题仍然存在。另外值得注意的是，如果CAFile 被注释掉，我可以在将allow_self_signed 设置为true 时成功连接，但在未注释时则不行。

最后，当尝试通过 MongoDB shell 连接时，我收到以下错误：

2018-07-23T23:37:02.992+0000 E NETWORK [thread1] SSL 对等证书验证失败：无法获取颁发者证书

2018-07-23T23:37:02.992+0000 E QUERY [thread1] 错误：用于 SSL 对等证书验证的套接字异常 [CONNECT_ERROR] 失败：无法获取颁发者证书：

connect@src/mongo/shell/mongo.js:251:13

@(连接):1:6

异常：连接失败

预期行为：我不想使用客户端证书身份验证来连接数据库。我目前想要的只是对流量进行加密。这意味着无需允许自签名证书即可连接到数据库。

注意事项：

我已在应用程序服务器上成功设置了一个用于 HTTPS 连接的证书。此外，在测试此问题本身引用的证书时，我已使用 openssl verify -CAfile /path/to/my_ca_bundle /path/to/my_ca_signed_cert 成功对文件运行验证。
当禁用 SSL 或启用自签名证书时，我的应用程序代码中的所有内容都可以正常工作。

关于所有这些的文档在很多方面都非常模糊，所以我不确定我的配置哪里出错了。我应该研究什么来解决这个问题？

【问题讨论】：

您的 .crt 和 .key 文件是二进制文件还是文本文件？检查stackoverflow.com/a/991772/2235381
@lojza 它们是 PEM 格式的文本文件。

标签： php mongodb database-administration

【解决方案1】：

我认为您可以尝试将选项 allowConnectionsWithoutCertificates 添加到 ssl 配置中。您的连接已加密，但忽略了证书身份验证。

net:
  port: 27017
  bindIp: 127.0.0.1,10.138.196.241
  ssl:
    mode: requireSSL
    PEMKeyFile: /path/to/my_ca_signed_cert
    CAFile: /path/to/my_ca_bundle
    allowConnectionsWithoutCertificates: true

【讨论】：

我完全忘记了那个选项！即便如此，添加后，我仍然有同样的问题。即使注释掉了CAFile，问题仍然存在。不过，我一定会牢记这一点。

【解决方案2】：

我决定再破解这个问题，终于找到了解决办法。

首先，我需要将我的/path/to/my_ca_bundle 移动到/usr/share/ca-certificates/my_project/my_ca_bundle。

其次，我需要将/etc/ca-certificates.conf 更新为my_project/my_ca_bundle。

第三，我需要运行sudo update-ca-certificates。

最后，我需要从我的 PHP 流上下文中删除 ssl.cafile 选项（我似乎无法让它与这一行一起工作）。

/etc/mongod.conf 中的 CAFile 选项也是不必要的，除非它使用另一个答案中提到的 allowConnectionsWithoutCertificates: true 行，否则会出现问题。

那是一团糟，但现在一切正常！

【讨论】：

很棒的发现！