如何解码Mongo Wire流量？MongoDB禁用SSL后无法用Wireshark查看Mongo Wire协议的问题求助

我来帮你一步步排查这个困扰你的问题——要抓到清晰的Mongo Wire协议流量，核心就是确保连接完全处于未加密状态：

1. 先确认MongoDB服务器的SSL配置真的生效了 #

YAML格式的配置文件对缩进要求特别严格，你的配置如果缩进出错，服务器根本不会读取到ssl: mode: disabled的设置。正确的mongo.conf格式应该是这样的（注意每个层级用2个空格缩进）：

net:
  bindIp: 127.0.0.1, ::1
  ipv6: true
  ssl:
    mode: disabled
security:
  authorization: disabled

修改完配置后一定要重启MongoDB服务，不然新配置不会生效。重启后，用mongosh连接服务器，运行以下命令查看实际生效的配置：

db.runCommand({getCmdLineOpts: 1})

在返回结果里找parsed.net.ssl.mode，确认它的值是disabled。如果不是，说明你的配置文件没被正确加载——可能是启动时用命令行参数覆盖了配置，或者配置文件路径指定错误。

2. 确保客户端连接确实没使用SSL #

你用mongosh localhost?ssl=false的方式可能存在隐藏问题，比如客户端的配置文件（比如~/.mongorc.js）或者环境变量（比如MONGO_SSL=true）强制启用了SSL。建议换更明确的连接方式：

mongosh --ssl=false localhost

连接成功后，运行以下命令确认连接状态：

db.runCommand({connectionStatus: 1})

查看返回结果里的connectionStatus.connections.current，确认ssl字段是false，或者连接字符串里没有ssl=true的参数。

3. Wireshark的捕获和过滤要正确 #

• 捕获接口选对：因为你连接的是localhost，要选本地回环接口（Linux是lo，Mac是lo0）。
• 过滤规则用mongo：直接在Wireshark的过滤栏输入mongo，就能过滤出Mongo Wire协议的流量。如果还是只看到TCP和SSL包，那说明你的连接其实还是加密的，回到前两步重新排查配置。
• 关于你提到的Wireshark样本数据：那个样本本身可能就是加密的Mongo流量，所以即使你自己禁用了SSL，样本还是会显示SSL，别把样本和自己的本地流量混为一谈。

4. 最后检查服务器启动日志 #

查看MongoDB的启动日志，找有没有类似SSL support is disabled的日志条目，这能直接证明服务器启动时SSL确实被禁用了。如果日志里显示SSL enabled，那肯定是配置环节出了问题。

内容的提问来源于stack exchange，提问作者code farmer