如何在AWS上搭建MongoDB副本集？关于IP配置、防火墙设置等核心细节的技术问询

我刚好在AWS上部署过好几次MongoDB副本集，踩过不少坑，针对你提到的这些容易被忽略的核心细节，给你分享下实操经验：

1. IP配置：优先用私网IP，公网IP按需使用 #

副本集内部节点之间的通信一定要用私网IP——AWS同一区域内的EC2实例私网互通延迟低、安全性高，而且不会产生公网流量费用。如果需要外部客户端（比如本地开发环境、其他云服务）连接副本集，只需要给主节点配置公网IP（或者用AWS的NAT网关、负载均衡转发），但内部节点间绝对不要用公网IP通信，避免暴露不必要的攻击面。

2. 防火墙（安全组）配置：分节点类型精细化设置 #

AWS上MongoDB节点的防火墙就是EC2的安全组，不同节点的规则要分开配置：

• 主节点：
  • 入站规则：允许所有副本集节点（从节点、仲裁节点）的私网IP段访问27017端口（MongoDB默认端口）；如果需要外部客户端连接，添加对应客户端IP段的27017端口访问规则（如果启用SSL，还是用这个端口，只是通信加密）。
  • 出站规则：保持默认的全通即可，节点需要主动发起连接到其他副本集节点。
• 从节点：
  • 入站规则：只允许主节点、其他从节点、仲裁节点的私网IP访问27017端口，不需要对外开放（除非你有直接读从节点的需求，再按需添加客户端IP规则）。
• 仲裁节点：
  • 入站规则：仅允许主节点和从节点的私网IP访问27017端口即可——仲裁节点不存储数据，只参与选举，完全没必要对外开放。

3. rs.add(hostname)中的hostname：用私网IP #

这个绝对要选私网IP！副本集内部节点是通过你传入的hostname来建立通信的，用公网IP会导致节点间通信走公网，不仅延迟高、有安全风险，还可能因为AWS的公网IP动态变化（除非用弹性IP）导致副本集失联。只要所有节点在同一个VPC下，私网IP是固定且互通的，完全可以稳定使用。

4. 跨可用区实例的配置要点 #

AWS同一区域的不同可用区是通过私网连通的，所以跨AZ部署副本集的核心是保证网络互通和高可用：

• 首先确保所有节点都在同一个VPC下，并且VPC的子网分布在不同可用区（比如主节点在us-east-1a，从节点在us-east-1b，仲裁节点在us-east-1c）。
• 安全组规则不要限制可用区，只要允许副本集节点的私网IP访问27017即可——同一VPC下跨AZ的私网IP是互通的，不需要额外配置路由。
• 副本集节点数量建议选奇数（比如3个：主+从+仲裁），这样即使一个可用区故障，剩下的两个节点能组成多数派，顺利选举新的主节点，保证服务不中断。

5. 副本集启用SSL的步骤 #

生产环境下副本集必须启用SSL加密通信，实操步骤如下：

1. 获取SSL证书：可以用AWS Certificate Manager（ACM）免费生成可信证书，或者自签证书（测试环境用）。注意要生成包含所有节点私网IP的SAN证书，避免证书验证失败。
2. 修改每个节点的mongod.conf配置：

   net:
     ssl:
       mode: requireSSL  # 强制所有连接使用SSL
       PEMKeyFile: /path/to/your/certificate.pem  # 包含私钥和证书的文件路径
       CAFile: /path/to/ca-certificate.pem  # CA证书路径（如果用可信CA的话）
   

3. 重启所有mongod服务：确保配置生效。
4. 副本集连接与配置：连接节点时要加上ssl=true参数，比如mongo --ssl --host <私网IP>:27017；rs.add()操作依然用私网IP，SSL只是加密通信，不影响节点地址的使用。
5. 客户端配置：外部客户端连接时也要启用SSL，对应设置SSL证书验证选项，确保通信加密。

内容的提问来源于stack exchange，提问作者paul