同一网络内无法直连MongoDB，寻求替代SSH隧道的SSL/TLS方案

一、先排查基础网络连通性 #

超时问题优先排除网络层面的障碍，和MongoDB配置无关的环节要先确认：

• 在客户端执行ping 192.168.X.XXX，验证主机是否可达；如果ping不通，先排查局域网IP设置、路由器分配规则。
• 用端口测试工具验证27017端口是否开放：
  Linux客户端：nc -zv 192.168.X.XXX 27017
  Windows客户端：telnet 192.168.X.XXX 27017 或 Test-NetConnection 192.168.X.XXX -Port 27017
• 检查主机防火墙：
  • Linux：关闭临时防火墙测试（ufw disable），或添加规则ufw allow from 192.168.0.0/24 to any port 27017（替换为你的局域网段）。
  • Windows：在 Defender 防火墙中添加入站规则，允许27017端口的TCP连接，目标选择局域网IP段或客户端IP。

二、验证MongoDB监听配置 #

确保MongoDB确实在局域网IP上监听：

1. 重启MongoDB服务后，检查监听状态：
   Linux：netstat -anp | grep 27017，输出中要包含0.0.0.0:27017或192.168.X.XXX:27017。
   Windows：netstat -ano | findstr :27017，确认监听地址不是仅127.0.0.1。
2. 临时关闭quiet: true配置，重启服务后查看mongod.log，检查是否有IP绑定失败、端口被占用的报错。

三、配置MongoDB启用SSL/TLS #

完成基础连通后，配置SSL/TLS加密连接：

1. 生成自签名证书（局域网内使用足够）

# 生成CA根证书（用于签署服务器证书）
openssl req -newkey rsa:2048 -nodes -keyout ca.key -x509 -days 3650 -out ca.crt

# 生成服务器证书请求
openssl req -newkey rsa:2048 -nodes -keyout server.key -out server.csr

# 用CA签署服务器证书
openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 3650

# 合并密钥和证书为PEM文件（MongoDB要求）
cat server.key server.crt > server.pem

2. 修改MongoDB配置文件

添加SSL相关配置，确保net段如下：

net:
  port: 27017
  bindIp: 0.0.0.0  # 或指定你的局域网IP
  ssl:
    mode: requireSSL  # 强制所有连接使用SSL
    PEMKeyFile: /path/to/server.pem  # 替换为你生成的server.pem路径
    CAFile: /path/to/ca.crt  # 可选，若需要验证客户端证书则添加

重启MongoDB服务，查看日志确认SSL启动成功。

四、客户端Python连接配置 #

使用pymongo通过SSL连接，需导入CA证书以信任服务器：

import pymongo

try:
    client = pymongo.MongoClient(
        "mongodb://192.168.X.XXX:27017/",
        tls=True,
        tlsCAFile="/path/to/client/ca.crt"  # 客户端保存的CA根证书路径
    )
    # 测试连接
    client.admin.command("ping")
    print("SSL连接成功")
except Exception as e:
    print(f"连接失败: {str(e)}")

• 若只是临时测试（不推荐生产环境），可添加tlsAllowInvalidCertificates=True跳过证书验证，但局域网内建议使用CA证书保证安全性。

额外验证步骤 #

先用MongoDB官方客户端测试SSL连通性，排除代码问题：

mongosh "mongodb://192.168.X.XXX:27017/" --tls --tlsCAFile /path/to/ca.crt

如果命令行能连接，再排查Python代码的证书路径、权限问题。

内容的提问来源于stack exchange，提问作者user101893