先决条件
要完成本教程，您需要：- 一个OpenVPN服务器，您可以通过以下教程设置如何在Ubuntu 16.04上设置OpenVPN服务器 。 确保在创建服务器时检查“ 专用网络 ”框。
- 安装了Docker的Ubuntu 16.04机器。 您将在此创建您的MongoDB Docker映像，以及在容器中运行MongoDB的位置。 要创建它，请在DigitalOcean管理控制台中单击Create Droplet ，然后选择一键应用 ，然后在16.04上选择Docker 1.x。启用此服务器上的私有网络。
- 在两台服务器上都具有sudo权限的非root用户。Ubuntu 16.04的初始设置指南说明了如何设置它。
- MongoDB安装在本地机器上 。您将使用它来测试您的MongoDB服务器的连接。
第1步 - 配置VPN转发到私有IP地址
如果您遵循先决条件的OpenVPN文章，您很可能会将服务器配置为将请求转发到公共网络接口，而不是私有接口。在本教程中，我们将配置MongoDB服务器，以便只能在其专用接口上访问，我们只能通过VPN连接进行访问。我们需要修改VPN服务器上的IP保护规则，以便来自VPN客户端的流量也被路由到专用网络。 连接到您的OpenVPN服务器。ssh sammy@vpn_server_public_ip
sudo nano /etc/ufw/before.rules
ip route | grep vpn_server_private_ip
Output10.132.0.0/16 dev eth1 proto kernel scope link src vpn_server_private_ip
eth1 ，但是你可能会有所不同。 确定专用网络界面后，编辑文件
/etc/ufw/before.rules ：
sudo nano /etc/ufw/before.rules
/etc/ufw/before.rules
# START OPENVPN RULES
# NAT table rules
*nat
:POSTROUTING ACCEPT [0:0]
# Allow traffic from OpenVPN client to eth0
-A POSTROUTING -s 10.8.0.0/8 -o eth0 -j MASQUERADE
COMMIT
# END OPENVPN RULES
/etc/ufw/before.rules
# START OPENVPN RULES
# NAT table rules
*nat
:POSTROUTING ACCEPT [0:0]
# Allow traffic from OpenVPN client to eth0
-A POSTROUTING -s 10.8.0.0/8 -o eth0 -j MASQUERADE
-A POSTROUTING -s 10.8.0.0/8 -o eth1 -j MASQUERADE
COMMIT
# END OPENVPN RULES
eth1 。然后保存文件并退出编辑器。 禁用并重新启用防火墙：
sudo ufw disable
sudo ufw enable
exit
第2步 - 设置MongoDB服务器的防火墙
我们将使用其私有IP地址连接到MongoDB服务器。如果没有，请返回到DigitalOcean仪表板，找到MongoDB Docker Droplet的私有IP地址。您将在此使用它来连接到服务器，随后将使用它直接连接到MongoDB，因为我们要限制对VPN客户端的数据库服务器的访问。这样你就可以避免暴露公开的数据库，这是一个必须的安全措施。 确保您已连接到您的VPN，并使用其私有IP将SSH连接到MongoDB服务器：ssh sammy@mongodb_server_private_ip
sudo ufw delete limit ssh
sudo ufw delete allow 2375/tcp
sudo ufw delete allow 2376/tcp
sudo ufw allow from vpn_server_private_ip to any port 22 proto tcp
sudo ufw allow from vpn_server_private_ip to any port 28018 proto tcp
sudo ufw status
OutputTo Action From
-- ------ ----
22/tcp ALLOW vpn_server_private_ip
28018/tcp ALLOW vpn_server_private_ip
sudo ufw enable
exit
ssh sammy@mongodb_server_private_ip
第3步 - 创建MongoDB配置文件
在此步骤中，我们将创建一个自定义MongoDB配置，配置MongoDB以使用SSL证书。 我们创建一个目录结构来保存我们的配置和相关文件。我们将创建一个名为mongoconf ，然后为其
config文件创建一个
config目录。 在
config目录下，我们将创建一个名为
ssl目录，我们将在其中存储证书。 使用以下命令创建结构：
mkdir -p ~/mongoconf/config/ssl
~/mongoconf/config文件夹：
cd ~/mongoconf/config
mongod.conf的新文件：
nano mongod.conf
28018上的每个网络接口。 在这种情况下绑定到
0.0.0.0不是安全问题，因为防火墙将不允许外部连接。但我们确实需要允许VPN内的客户端进行连接。将以下内容添加到文件中：
mongodb.conf
net:
bindIp: 0.0.0.0
port: 28018
mongodb.conf
net:
. . .
ssl:
CAFile: /etc/mongo/ssl/client.pem
PEMKeyFile: /etc/mongo/ssl/server.pem
PEMKeyPassword: test
mode: requireSSL
mongodb.conf
. . .
storage:
dbPath: /mongo/db
journal:
enabled: true
第4步 - 生成SSL证书
为了保护数据传输，您需要为MongoDB生成两个SSL证书 - 一个用于服务器，一个用于访问数据库的客户端。 注意：我们在本教程中创建自签名证书。在生产环境中，您将使用受信任的证书颁发机构来生成它们。 为此，您需要 设置一个私有DNS解析器 。 然后， 使用我们的加密DNS挑战来验证新创建的内部网域，并为其颁发证书。 首先，转到~/mongoconf/config/ssl目录并生成服务器证书 - 密钥对。 填写您选择的信息提示。 注意
Common Name和
PEM Passphrase字段。
cd ~/mongoconf/config/ssl
openssl req -new -x509 -days 365 -out server.crt -keyout server.key
Server certificate-key generation. . .
Enter PEM pass phrase: test
Verifying - Enter PEM pass phrase: test
. . .
Common Name (e.g. server FQDN or YOUR name) []: mongodb_server_private_ip
. . .
.pem文件：
cat server.crt server.key >> server.pem
openssl req -new -x509 -days 365 -out client.crt -keyout client.key
Client certificate-key generation. . .
Enter PEM pass phrase: secret_password
Verifying - Enter PEM pass phrase: secret_password
. . .
Common Name (e.g. server FQDN or YOUR name) []: vpn_server_private_ip
. . .
.pem文件中：
cat client.crt client.key >> client.pem
scp命令执行此操作：
scp sammy@mongodb_server_private_ip:/home/sammy/mongoconf/config/ssl/\{client.pem,server.pem\} .
client.pem和
server.pem文件传输到本地计算机。 现在让我们创建一个Docker镜像，并在一个容器中运行数据库引擎，这样配置就可以更便于携带了。
第5步 - 创建MongoDB Docker映像并运行容器
您创建了一个安全的MongoDB配置并生成了证书。现在让它让它与Docker便携。我们将为MongoDB创建一个自定义映像，但是当我们运行容器时，我们会传入我们的配置文件和证书。 要建立一个图像，你需要一个Dockerfile。 注意 ：要运行没有sudo ，请将
sammy添加到
docker组：
sudo usermod -aG docker sammy
cd ~/mongoconf
nano Dockerfile
Dockerfile
FROM ubuntu:xenial
RUN apt-key adv --keyserver hkp://keyserver.ubuntu.com:80 --recv 0C49F3730359A14518585931BC711F9BA15703C6
RUN echo "deb http://repo.mongodb.org/apt/ubuntu xenial/mongodb-org/3.4 multiverse" | tee /etc/apt/sources.list.d/mongodb-org-3.4.list
RUN apt-get update && apt-get install -y mongodb-org
RUN mkdir -p /mongo/db /etc/mongo
EXPOSE 28018
ENTRYPOINT ["mongod", "--config", "/etc/mongo/mongod.conf"]
28018可用于主机，并在每次用户重新启动容器时运行Mongo。
注意：为了简单起见，我们的形象基于Ubuntu。然而，像Alpine Linux这样的轻量级发行版建造的容器占用较少的磁盘空间。 保存文件并退出编辑器。然后构建图像：
docker build -t mongo .
docker run \
--detach \
--publish 28018:28018 \
--volume $PWD/config:/etc/mongo \
--name mongodb \
mongo
第6步 - 访问MongoDB
在本地机器上的新终端中，使用MongoDB服务器的私有IP地址连接到数据库。您将提供您下载到本地计算机的client.pem和server.pem文件，以及创建客户端证书时使用的密码。执行此命令：mongo \
--ssl \
--sslCAFile path_to_server_pem \
--sslPEMKeyFile path_to_client_pem \
--sslPEMKeyPassword pem_key_passphrase \
--host mongodb_server_private_ip \
--port 28018
