Java程序连接AWS DocumentDB遇连接异常及VPC外连通性咨询

初始同VPC内连接失败原因 #

你的报错核心是MongoSocketOpenException: Exception opening socket，说明连接在TCP建连阶段就失败，还没进入账号鉴权、证书校验的环节，和是否需要提前创建用户、配置权限无关联：

• 创建集群时设置的主用户名docdbnewbie是集群内置的管理员账号，默认拥有全集群的管理权限，不需要额外在数据库内部手动创建账号、配置权限，只要连接串里配置的密码和创建集群时设置的密码一致即可。
• 连接串里的ssl_ca_certs=rds-combined-ca-bundle.pem是Mongo Shell等特定客户端的专属配置参数，Java MongoDB驱动本身不识别该参数；你将根证书导入JVM keystore完成SSL信任配置的操作是完全符合Java驱动的连接规范的，不需要在Java连接串中额外添加这个参数。
• 最初连接超时的核心原因通常是网络层配置问题，等你可以在同VPC的Cloud9 EC2实例上正常连通，说明DocumentDB关联的安全组入站规则、子网路由已经打通了同VPC内的访问权限，这部分链路已经正常。

VPC外部客户端的连通性说明 #

客户端位于VPC外部时，完全可以和DocumentDB集群建立连接，但需要满足对应的网络与安全配置要求：

• DocumentDB集群默认部署在VPC私有子网中，本身不分配公网IP，无法直接通过公网地址访问。
• 实现外部访问的通用合规路径包括：
• 在VPC内的公有子网部署具备公网IP的反向代理/堡垒机，代理转发外部客户端的27017端口流量到DocumentDB集群
• 通过AWS Site-to-Site VPN、专线连接，把外部客户端所在的网络和VPC内网打通，让客户端获得VPC内网的路由访问权限
• 完成网络链路打通后，需要调整DocumentDB集群关联的安全组入站规则，放开对应外部来源IP/网段的27017端口访问权限，保持原有的SSL证书信任配置正常，即可完成连通。

注意：不建议通过将DocumentDB所在私有子网调整为公有子网、为集群绑定公网IP的方式实现外部访问，这种操作不符合托管文档数据库的网络设计规范，会引入严重的安全风险。

内容的提问来源于stack exchange，提问作者Subhendu Mahanta