mongodb atlas 中的基本文本搜索和过滤文本搜索有什么区别？

Question

jurijus01

Asked: 2024-12-14 07:39:45 +0800 CST2024-12-14 07:39:45 +0800 CST 2024-12-14 07:39:45 +0800 CST

Compass 无法使用 OpenSSL 证书通过 TLS 连接到 MongoDB

772

尝试通过 TLS 将 Compass 连接到 VPS 上的 MongoDB 实例的久经考验的方法。如果证书来自 LetsEnctrypt CA（使用 CertBot 生成），则需要 2 个文件：

CertAndKey.pem，包含主机证书及其私钥；
intermAndRoot.pem，包含Certbot提供的chain.pem和直接从LetsEncrypt网站下载的rootCA证书。

一切正常。连接已建立。

但是，对于使用 OpenSSL 生成的自定义 CA，同样的方法不起作用。MongoDB 日志提供错误“证书用途不合适”

我按照这个出色的播放列表创建了 OpenSSL 证书链： TechLAB

我相信我做对了，因为所有 3 个证书都是不同的，并且内部证书和主机证书都通过了根证书的验证。

我的根 CA 是：

中级证书是：

主机证书是：

非常感谢您对导致该问题的原因的任何想法！

1 个回答

Voted

Wernfried Domscheit · Answer 1 · 2024-12-15T03:15:59+08:00

以下是生成证书的配置文件和命令：

# root-ca.conf
[req]
distinguished_name = req_distinguished_name
prompt = no
[req_distinguished_name]
C = AU
O = giftbutton
OU = My Division
CN = Root CA
[v3_ca]
keyUsage = critical, keyCertSign, cRLSign
basicConstraints = critical, CA:true
subjectKeyIdentifier = hash


# intermediate-ca.conf
[req]
distinguished_name = req_distinguished_name
prompt = no
[req_distinguished_name]
C = AU
O = giftbutton
OU = My Division
CN = Intermediate CA
[v3_ca]
keyUsage = critical, keyCertSign, cRLSign
basicConstraints = critical, CA:true
subjectKeyIdentifier = hash


# server.conf
[req]
distinguished_name = req_distinguished_name
prompt = no
[req_distinguished_name]
C = AU
O = giftbutton
OU = My Division
CN = Mongo Server
[v3_ca]
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names
[alt_names]
DNS.1 = giftbutton.com


# client.conf
[req]
distinguished_name = req_distinguished_name
prompt = no
[req_distinguished_name]
C = AU
O = giftbutton
OU = My Division
CN = Mongo Client
[v3_ca]
keyUsage = digitalSignature
extendedKeyUsage = clientAuth

许多教程使用生成公钥/私钥openssl genrsa ...。当您仅将密钥用于一个证书时，使用证书 (选项 ) 自动创建密钥会更容易-newkey 4096。这样可以少一个命令。

通常，当您需要证书时，您会创建证书请求并将其发送给拥有 CA 的个人/部门。他们会接收您的证书请求，使用其 CA 对其进行签名，然后将签名的证书返回给您。如果您是 CA 的所有者，则无需执行此步骤。您可以使用单个命令创建和签名证书请求。这样就少了一个命令。

看起来您喜欢使用服务器和客户端证书以及中间 CA。因此，最终通过 4 条命令创建了 4 个证书：

openssl req -config root-ca.conf -newkey 4096 -keyout root-ca.key -noenc -new -x509 -days 3650 -sha256 -copy_extensions copyall -extensions v3_ca -out root-ca.crt

openssl req -config intermediate-ca.conf -newkey 4096 -keyout intermediate-ca.key -noenc -new -x509 -days 3650 -CA root-ca.crt -CAkey root-ca.key -sha256 -copy_extensions copyall -extensions v3_ca -out intermediate-ca.crt

openssl req -config server.conf -newkey 4096 -keyout server.key -noenc -new -x509 -days 3650 -CA intermediate-ca.crt -CAkey intermediate-ca.key -sha256 -copy_extensions copyall -extensions v3_ca -out server.crt

openssl req -config client.conf -newkey 4096 -keyout client.key -noenc -new -x509 -days 3650 -CA intermediate-ca.crt -CAkey intermediate-ca.key -sha256 -copy_extensions copyall -extensions v3_ca -out client.crt

除了配置文件，您还可以将所有参数放在命令行中。因此，也许-config client.conf可以使用它-subj "C=AU/O=giftbutton/OU=My\ Division/CN=Mongo\ Client" -addext "keyUsage=critical/keyCertSign/cRLSign" -addext "basicConstraints=critical,CA:true" -addext "subjectKeyIdentifier=hash"- 但我没有测试！

为了使用它们，您必须将它们合并到文件中：

cat intermediate-ca.crt root-ca.crt > ca-chain.crt
cat client.crt client.key > client.pem
cat server.crt server.key > server.pem

然后它们就可以使用了。在服务器端使用

net:
  port: 27017
  bindIpAll: true
  tls:
    mode: requireTLS
    certificateKeyFile: server.pem
    CAFile: ca-chain.crt

在 Compass 中，使用如下连接字符串：

mongodb://user:[email protected]:27017/?authSource=admin&tls=true&tlsCertificateKeyFile=client.pem&tlsCAFile=ca-chain.crt

笔记：

下载最新版本的 openssl（版本 3.4）。旧版本-copy_extensions copyall不支持该选项，您需要将该[v3_ca]部分放入扩展配置文件中，然后使用加载此文件-extensions v3_ca -extfile ...。

正如前面提到的，我建议下载并安装XCA。它使用起来非常简单，您可以通过简单的复制/粘贴或拖放导入现有（工作）证书。然后您可以检查属性，并根据需要创建类似的证书或请求，并可以以您想要的任何格式导出它们。它确实是了解 x.509 证书秘密的有用工具。

Compass 无法使用 OpenSSL 证书通过 TLS 连接到 MongoDB

Vue 3：创建时出错“预期标识符但发现‘导入’”[重复]

为什么这个简单而小的 Java 代码在所有 Graal JVM 上的运行速度都快 30 倍，但在任何 Oracle JVM 上却不行？

具有指定基础类型但没有枚举器的“枚举类”的用途是什么？

如何修复未手动导入的模块的 MODULE_NOT_FOUND 错误？

`(表达式，左值) = 右值` 在 C 或 C++ 中是有效的赋值吗？为什么有些编译器会接受/拒绝它？

何时应使用 std::inplace_vector 而不是 std::vector？

在 C++ 中，一个不执行任何操作的空程序需要 204KB 的堆，但在 C 中则不需要

PowerBI 目前与 BigQuery 不兼容：Simba 驱动程序与 Windows 更新有关

AdMob：MobileAds.initialize() - 对于某些设备，“java.lang.Integer 无法转换为 java.lang.String”

我正在尝试仅使用海龟随机和数学模块来制作吃豆人游戏

Compass 无法使用 OpenSSL 证书通过 TLS 连接到 MongoDB

1 个回答

相关问题