Atlas MongoDB SSH隧道主机名不匹配：如何用127.0.0.1连接？

方法1：跳过SSL主机名验证（快速但有安全风险） #

直接在MongoDB连接命令中添加跳过主机名验证的参数，即可用127.0.0.1连接：

命令行参数方式： #

mongo --ssl --sslAllowInvalidHostnames "mongodb://<username>:<password>@127.0.0.1:<ssh_tunnel_local_port>/<db_name>?authSource=admin"

连接字符串参数方式： #

mongo --ssl "mongodb://<username>:<password>@127.0.0.1:<ssh_tunnel_local_port>/<db_name>?authSource=admin&sslAllowInvalidHostnames=true"

注意：该方法会跳过SSL证书的主机名校验，可能存在中间人攻击风险，仅适合测试环境或完全信任的内部网络，生产环境不建议使用。

方法2：开发者本地Hosts映射（安全且无需修改隧道配置） #

让开发者在自己的机器上修改/etc/hosts（Linux/macOS）或C:\Windows\System32\drivers\etc\hosts（Windows），将Atlas节点的域名映射到隧道机器的IP：

<隧道机器IP>    <atlas_node_hostname>

之后开发者使用原连接命令即可正常连接，此时客户端验证的是Atlas的域名（与证书匹配），且只需授权开发者访问隧道机器：

mongo --ssl "mongodb://<username>:<password>@<atlas_node_hostname>:<ssh_tunnel_local_port>/<db_name>?authSource=admin"

方法3：使用反向代理工具（适合生产环境） #

如果需要在生产环境中实现用127.0.0.1连接且保证安全，可以用反向代理工具（如Nginx、Socat）处理SSL证书验证：

以Nginx为例： #

1. 在隧道机器上安装Nginx，添加如下配置（替换占位符）：

server {
    listen 27779 ssl;
    server_name 127.0.0.1;

    # 生成自签名证书用于开发者端验证（或使用信任的CA颁发证书）
    ssl_certificate /path/to/nginx-cert.pem;
    ssl_certificate_key /path/to/nginx-key.pem;

    location / {
        proxy_pass https://<atlas_node_hostname>:<atlas_port>;
        # 开启代理端与Atlas的SSL主机名验证
        proxy_ssl_server_name on;
        proxy_ssl_verify on;
        proxy_ssl_trusted_certificate /etc/ssl/certs/ca-certificates.crt;
    }
}

2. 开发者连接时使用Nginx的127.0.0.1端口，并信任Nginx的证书：

mongo --ssl --sslCAFile /path/to/nginx-cert.pem "mongodb://<username>:<password>@127.0.0.1:27779/<db_name>?authSource=admin"

这种方式既保证了代理端与Atlas之间的SSL验证安全，又允许开发者用127.0.0.1连接，同时可通过Nginx配置限制访问IP，增强安全性。

内容的提问来源于stack exchange，提问作者Chacko Antony