在没有证书的 mongodb 副本集中启用 ssl答案

【问题标题】：Enabling ssl in mongodb replicaset without certificates在没有证书的 mongodb 副本集中启用 ssl
【发布时间】：2015-04-02 20:47:20
【问题描述】：

我正在尝试使用 ssl 设置 mongodb 2.6.8 副本集。我使用 ssl 支持手动编译了 mongo，并在我的配置中启用了 ssl，如下所示：

sslMode=requireSSL
sslPEMKeyFile=/etc/ssl/mongodb.pem
sslCAFile=/etc/ssl/client.pem
sslWeakCertificateValidation=true
replSet=rs0

我创建了 mongodb.pem 和 client.pem 文件，在每台服务器上运行 openssl，如下所示：

# openssl req -new -x509 -days 365 -nodes -out mongodb-cert.crt -keyout mongodb-cert.key -subj '/C=US/ST=MA/L=Waltham/CN=<fully qualified domain name>'
# cat mongodb-cert.key mongodb-cert.crt > mongodb.pem
# openssl req -new -x509 -days 365 -nodes -out client-cert.crt -keyout client-cert.key -subj '/C=US/ST=MA/L=Waltham/CN=<fully qualified domain name>'
# cat client-cert.key client-cert.crt > client.pem

在每台服务器上，我可以确认证书和 ssl 是否正常工作，因为在我的每台服务器上，我都可以执行以下操作：

mongo --ssl --sslPEMKeyFile=/etc/ssl/client.pem --sslCAFile=/etc/ssl/mongodb.pem <fully qualified domain name>

让我进入 mongo shell。

在主节点上，我可以执行 rs.initiate() 和 rs.status() 并且看起来不错：

> rs.initiate()
{
    "info2" : "no configuration explicitly specified -- making one",
    "me" : "<fqdn node 1>:27017",
    "info" : "Config now saved locally.  Should come online in about a minute.",
    "ok" : 1
}
> rs.status()
{
    "set" : "rs0",
    "date" : ISODate("2015-04-02T20:25:27Z"),
    "myState" : 1,
    "members" : [
        {
            "_id" : 0,
            "name" : "<fqdn node 1>:27017",
            "health" : 1,
            "state" : 1,
            "stateStr" : "PRIMARY",
            "uptime" : 23,
            "optime" : Timestamp(1428006318, 1),
            "optimeDate" : ISODate("2015-04-02T20:25:18Z"),
            "electionTime" : Timestamp(1428006318, 2),
            "electionDate" : ISODate("2015-04-02T20:25:18Z"),
            "self" : true
        }
    ],
    "ok" : 1
}

但是，当我尝试添加第二个成员时，我得到了可怕的 13144 错误：

rs0:PRIMARY> rs.add("<fqdn node 2>:27017")
{
    "errmsg" : "exception: need most members up to reconfigure, not ok : <fqdn node 2>:27017",
    "code" : 13144,
    "ok" : 0
}

我还应该注意，两台主机之间的连接工作正常，即在节点 1 上：

mongo --ssl --host <fqdn node 2>

或在节点 2 上时：

mongo --ssl --host <fqdn node 1>

两者都有效。

如何将 ssl 选项和/或证书传递给 rs.add() 命令？

我实际上并不关心通过证书（这就是我指定 sslWeakCertificateValidation=true 的原因）；我更关心的是确保节点之间的通信是在 ssl 中。

【问题讨论】：

标签： mongodb ssl

【解决方案1】：

很难确定出了什么问题，但我有一些观察结果：

如果另一个 mongod 进程在其配置中启动时没有replSet=rs0 项，您可能会遇到该错误
您可能遇到该错误，因为服务器无法在端口 27017 上通信，例如如果防火墙阻止了它们。值得通过在每台服务器上将 mongo 客户端连接到另一台服务器来验证连接性。
您的 mongod.pem 文件有问题。您通过连接服务器的私钥和证书来创建它；但它应该不包含密钥。它应该只是一个升序的证书链，从服务器开始到根结束。如果服务器是自认证的，则无需连接其他任何内容。

【讨论】：