.NET MongoDB Driver连接AWS DocumentDB报证书无效超时如何解决

C#/.NET版本的MongoDB驱动不会识别连接字符串中的ssl_ca_certs参数，该参数仅在Python、Node.js等其他语言版本的Mongo驱动中生效。你虽然在连接串里指定了PEM根证书路径，但驱动根本没有加载这个证书文件，默认走操作系统全局证书信任链做校验，自然判定AWS DocumentDB返回的服务端证书不受信任，触发SSL认证失败，最终连锁导致集群状态异常、服务器选择超时。

• 移除连接字符串里无效的ssl_ca_certs=rds-combined-ca-bundle.pem配置，改为通过MongoClientSettings手动加载CA证书、配置SSL校验逻辑，参考实现如下：

using System.Security.Cryptography.X509Certificates;
using System.Net.Security;
using MongoDB.Driver;

public GetEntities()
{
    // 注意pem文件要填程序可访问的绝对路径，或确认相对路径对应程序运行目录下的文件
    var rdsCaCert = X509Certificate2.CreateFromPemFile("rds-combined-ca-bundle.pem");
    var connStr = "mongodb://username:password@mynode.docdb.amazonaws.com:27017/?ssl=true&replicaSet=rs0&readPreference=secondaryPreferred&retryWrites=false";
    var mongoSettings = MongoClientSettings.FromConnectionString(connStr);
    
    mongoSettings.SslSettings = new SslSettings
    {
        EnabledSslProtocols = System.Security.Authentication.SslProtocols.Tls12,
        ServerCertificateValidationCallback = (sender, cert, chain, sslError) =>
        {
            if (sslError == SslPolicyErrors.None) return true;
            // 使用自定义加载的RDS根证书做证书链校验
            chain.ChainPolicy.TrustMode = X509ChainTrustMode.CustomRootTrust;
            chain.ChainPolicy.CustomTrustStore.Clear();
            chain.ChainPolicy.CustomTrustStore.Add(rdsCaCert);
            chain.ChainPolicy.RevocationMode = X509RevocationMode.NoCheck;
            return chain.Build((X509Certificate2)cert);
        }
    };
    // DocumentDB对MongoDB Server API兼容度不足，显式置空避免额外握手错误
    mongoSettings.ServerApi = null;

    _client = new MongoClient(mongoSettings);
    _database = _client.GetDatabase("testdb");
    _collection = _database.GetCollection<UserObject>("testcollection");
}

• 排查两个易漏的配置项
  • 确认程序运行主机和DocumentDB实例的网络连通性：DocumentDB默认不开放公网访问，需要保证主机和实例在同一VPC，或已经配置好VPC对等、私网穿透，同时安全组放通主机到实例27017端口的入站规则
  • 确认本地的rds-combined-ca-bundle.pem文件完整无损坏，路径配置正确，程序运行时有权限读取该文件。文件读取失败时驱动不会抛出明确的文件缺失异常，会统一返回证书校验无效的错误。
• 开发环境临时验证方案（生产环境严禁使用）
  本地调试时如果暂时不想配置证书，可以临时在ServerCertificateValidationCallback回调中直接返回true跳过所有证书校验，先验证账号密码、网络连通性是否正常，验证完成后必须换回正式的证书校验逻辑，避免中间人攻击风险。

内容的提问来源于stack exchange，提问作者TrypicalDev