MongoDB SSL/TLS CA 不受任何人信任

Question

我使用 Let's Encrypt 来设置 Mongo 加密。但是，除非我提供 --CAFile 和 --PEMKeyFile 参数，否则我无法连接到数据库。我只是收到一个神秘的错误。

[timestamp] DBClientCursor::init call() failed
[timestamp] Error: DBClientBase::findN: transport error: example.com:27017 ns: admin.$cmd query: { whatsmyuri: 1 } at src/mongo/shell/mongo.js:148
exception: connect failed

那个错误，根据this issue on mongodb.org由 SSL 配置引起。

我使用了 Let's Encrypt，其 Root CA 是 ISRG Root X1。我通过检查 Let's Encrypt 页面验证了我拥有正确的 .pem 文件。基于 Jira 错误/神秘输出以及除非我向 mongo shell 提供 CA 和 PemKey 参数我无法访问服务器这一事实，我很确定没有人信任我正在使用的 SSL 证书。

我用来获取证书的确切过程是 here .唯一的区别是我创建了 ca.pem 文件，然后将 chain.pem 文件连接到其中。如果我用另一种方式来做，如教程所述，它总是无法通过 OpenSSL 验证命令。

Answer 1

经过几个小时的尝试，我弄明白了:

默认情况下，MongoDB 不像大多数 Web 服务器那样使用单向 SSL。相反，它需要来自客户端和服务器的 SSL 证书。

有一个标志，--allowConnectionsWithoutCertificates，可以绕过这个。