MongoDB Compass无法通过OpenSSL证书建立TLS连接求助

问题核心原因 #

你遇到的报错直接指向服务器证书的扩展用途（Extended Key Usage）配置不符合MongoDB要求：

• MongoDB强制要求服务器证书必须包含TLS Web Server Authentication（即serverAuth）扩展用途，用于标识该证书可用于TLS服务器身份验证。
• Let's Encrypt生成的证书默认自带该扩展，所以能正常连接；而你用OpenSSL自定义生成证书时，大概率没显式配置这个字段，导致MongoDB判定证书用途不匹配。

排查与解决步骤 #

1. 验证现有证书的扩展用途 #

先确认你的服务器证书是否缺失必要的扩展：

openssl x509 -in 你的服务器证书文件.pem -text -noout | grep -A 5 "X509v3 Extended Key Usage"

如果输出中没有TLS Web Server Authentication，即可坐实问题根源。

2. 重新生成带正确扩展的服务器证书 #

生成证书时必须显式指定serverAuth扩展用途，两种常见方式：

方式一：命令行直接指定

# 基于现有CSR生成证书时添加扩展
openssl x509 -req -in server.csr -CA rootCA.pem -CAkey rootCA.key -CAcreateserial -out server.crt -days 365 -addext "extendedKeyUsage=serverAuth"

方式二：通过配置文件指定（更灵活，可添加域名/IP绑定）

创建扩展配置文件server-ext.cnf：

[v3_req]
# 必须包含serverAuth
extendedKeyUsage = serverAuth
# 可选：添加证书绑定的域名或IP，避免主机名不匹配报错
subjectAltName = @alt_names

[alt_names]
DNS.1 = 你的VPS域名
IP.1 = 你的VPS公网IP

然后用该文件生成证书：

openssl x509 -req -in server.csr -CA rootCA.pem -CAkey rootCA.key -CAcreateserial -out server.crt -days 365 -extfile server-ext.cnf -extensions v3_req

若需要同时支持客户端证书登录，可将extendedKeyUsage设为serverAuth,clientAuth

3. 更新MongoDB配置并测试 #

将新生成的服务器证书（含私钥的组合文件）替换到MongoDB配置中，重启服务后再用Compass尝试连接。同时确保Compass已信任你的自定义根CA证书（或提供完整的证书链文件）。

内容的提问来源于stack exchange，提问作者jurijus01