GCP环境下MongoDB副本集群部署的两项技术疑问咨询

1. 写入请求路由至主节点的方案选择 #

GCP内部应用负载均衡器（ILB）的常规负载均衡算法（如轮询、加权轮询）无法感知MongoDB副本集的主从角色状态，直接用默认配置会导致写入请求被路由到从节点，触发写入失败。针对这个问题，不建议直接移除负载均衡器，推荐以下两种更优方案：

• 利用MongoDB驱动的副本集自动发现能力（首选）
  配置BigID应用的MongoDB连接字符串为副本集模式，格式示例：

  mongodb://<主节点IP>:27017,<从节点IP>:27017/?replicaSet=<副本集名称>&writeConcern=majority
  

  MongoDB官方驱动会自动执行isMaster()命令识别当前主节点，将所有写入请求路由至主节点，读取请求可通过readPreference参数配置分发策略（如优先从节点）。这种方式无需依赖LB的特殊配置，同时能自动适配主节点故障切换后的拓扑变化，保障高可用性。

• 配置LB的健康检查规则适配主从状态
  如果必须保留LB，可自定义健康检查规则，通过MongoDB的isMaster()命令判断节点角色：

  1. 创建基于HTTP或TCP的健康检查，发送db.isMaster()命令（可通过MongoDB的REST接口或自定义脚本实现）
  2. 仅将返回ismaster: true的节点标记为健康状态，LB会自动将流量转发至主节点
     注意：这种方式仅能处理写入流量，读取流量若需分发到从节点，需单独配置另一组LB或依赖驱动的读取偏好。

• 不建议直接让应用直连主节点：主节点故障切换后，应用需要手动更新连接地址，无法实现自动故障转移，会降低整体架构的高可用性。

2. SSL/TLS配置的两种场景说明 #

场景一：不在LB终止SSL或不使用LB #

• 需要为主、从节点分别生成证书（或使用包含所有节点主机名/IP的通配符证书），证书的**Subject Alternative Name（SAN）**必须包含每个节点的内部IP、主机名以及副本集名称对应的域名（若有），确保节点间复制流量和客户端连接都能通过SSL验证。
• MongoDB配置中需启用SSL：

  net:
    ssl:
      mode: requireSSL
      PEMKeyFile: /path/to/node-cert.pem
      CAFile: /path/to/ca-cert.pem
  

场景二：在LB终止SSL #

• 仅需在LB上配置一张对应客户端连接域名的SSL证书，客户端与LB之间的流量通过HTTPS加密。为保障后端安全性，建议LB与MongoDB节点之间的流量也启用TLS加密：
• MongoDB.conf需添加的核心配置：

  net:
    bindIp: <节点内部IP>
    port: 27017
    ssl:
      mode: requireSSL  # 要求LB与MongoDB之间使用TLS
      PEMKeyFile: /path/to/node-internal-cert.pem
      CAFile: /path/to/ca-cert.pem
  security:
    authorization: enabled  # 启用身份验证，增强安全性
    ipWhitelist: [<LB内部IP范围>]  # 仅允许LB的流量访问MongoDB
  

  如果允许LB与MongoDB之间使用明文（不推荐生产环境），可将net.ssl.mode设置为disabled，但需确保VPC内部网络的安全性，同时限制MongoDB的访问来源为LB的IP范围。

内容的提问来源于stack exchange，提问作者Neeraj Yadav