Введение
MongoDB представляет собой бесплатную базу данных NoSQL и с открытым исходным кодом, обычно используемую в современных веб — приложениях. Этот учебник поможет вам, как настроить MongoDB на сервере для использовать в производственной среде приложений. Вы будете устанавливать MongoDB и настраивать правила брандмауэра, чтобы ограничить доступ к MongoDB.
Предпосылки
Следуя этому руководству, вам потребуется:
- Один 8 — сервер Debian с доступом не суперпользователя (sudo). Вы можете настроить пользователя с этими привилегиями в нашим руководством первоначальной настройки сервера с Debian 8.
Шаг 1 — Установка MongoDB
MongoDB уже включен в репозиторий Debian, но официальный репозиторий MongoDB предоставляет самую свежую версию и является рекомендуемым способом установки программного обеспечения. На этом шаге мы добавим этот официальный репозиторий на наш сервер.
Debian гарантирует подлинность пакетов программного обеспечения, проверив, что они подписаны с ключами GPG, поэтому мы сначала должны импортировать их ключ для официального репозитория MongoDB.
sudo apt-key adv --keyserver hkp://keyserver.ubuntu.com:80 --recv 0C49F3730359A14518585931BC711F9BA15703C6
После успешного импорта ключа, вы увидите:
gpg: Total number processed: 1 gpg: imported: 1 (RSA: 1)
Далее, мы должны добавить в apt репозиторий MongoDB так будут знать, куда загружать пакеты.
Выполните следующую команду, чтобы создать файл списка для MongoDB.
echo "deb http://repo.mongodb.org/apt/debian jessie/mongodb-org/3.4 main" | sudo tee /etc/apt/sources.list.d/mongodb-org-3.4.list
После добавления деталей репозитория, обновите список пакетов:
sudo apt-get update
Теперь установите пакет MongoDB с помощью следующей команды:
sudo apt-get install -y mongodb-org
Это устанавливает последнюю стабильную версию MongoDB, наряду с некоторыми полезными инструментами управления для сервера MongoDB.
После того, как MongoDB установлен, запустите службу, и убедитесь, что он запускается при перезагрузке вашего сервера:
sudo systemctl enable mongod.service sudo systemctl start mongod
Затем используйте , systemctl чтобы проверить, что служба запущена правильно:
sudo systemctl status mongod
Вы должны увидеть следующий вывод, который указывает, что служба работает:
● mongod.service - High-performance, schema-free document-oriented database
Loaded: loaded (/lib/systemd/system/mongod.service; enabled)
Active: active (running) since Tue 2017-02-28 19:51:51 UTC; 7s ago
Docs: https://docs.mongodb.org/manual
Main PID: 8958 (mongod)
CGroup: /system.slice/mongod.service
└─8958 /usr/bin/mongod --quiet --config /etc/mongod.conf
Feb 28 19:51:51 cart-61037 systemd[1]: Started High-performance, schema-free document-oriented database.
Теперь, когда MongoDB успешно установлена, давайте защитим его с помощью программного брандмауэра.
Шаг 2 — Защита MongoDB брандмауэром
В большинстве случаев, MongoDB должны быть доступен только из определенных доверенных местах, таких как другой сервер хостинг приложения. Для выполнения этой задачи, вы можете разрешить доступ по порту MongoDB по умолчанию. При указании IP-адреса другого сервера, которому будет явно разрешено подключение. Мы будем использовать брандмауэр Iptables, чтобы настроить это правило, а также несколько других правил безопасности системы.
Перед тем, как писать какие — либо правила, установите пакет iptables-persistent, так что вы можете сохранить правила, которые вы создаете. Таким образом, правила будут применяться каждый раз, когда вы перезапустите сервер. Выполните следующую команду:
sudo apt-get install iptables-persistent
Затем удалите все существующие правила, которые могут быть, на всякий случай:
sudo iptables -F
Затем добавьте правило, которое позволяет налаженные связи продолжать общаться. Таким образом, наше существующее соединение SSH не будет прервано:
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
Затем убедитесь, что SSH доступ разрешен:
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
Если вы планируете подключиться к MongoDB с удаленного сервера, добавьте эти правила, которые позволяют получить доступ к порту MongoDB по умолчанию от сервера приложений:
sudo iptables -A INPUT -s your_other_server_ip -p tcp --destination-port 27017 -m state --state NEW,ESTABLISHED -j ACCEPT sudo iptables -A OUTPUT -d your_other_server_ip -p tcp --source-port 27017 -m state --state ESTABLISHED -j ACCEPT
Затем добавьте эти правила, допускающие трафик на локальном устройстве:
sudo iptables -A INPUT -i lo -j ACCEPT sudo iptables -A OUTPUT -o lo -j ACCEPT
И, наконец, измените политику брандмауэра, чтобы отбросить все другие виды трафика:
sudo iptables -P INPUT DROP
Кроме того, если вы случайно удалили свои правила, вы будете заблокированы из вашего сервера. Это хорошая идея, чтобы использовать sudo iptables -P INPUT ACCEPT чтобы разрешить трафик, если вам нужно настроить свои правила в будущем. Затем вы можете использовать sudo iptables -P INPUT DROP для блокировки, как только вы будете уверены, что все настроены правильно снова.
Убедитесь в том, что правила выглядят правильно:
sudo iptables -S
Вы должны увидеть вывод, подобный этому:
-P INPUT DROP -P FORWARD ACCEPT -P OUTPUT ACCEPT -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT -A INPUT -s your_other_server_ip/32 -p tcp -m tcp --dport 27017 -m state --state NEW,ESTABLISHED -j ACCEPT -A INPUT -i lo -j ACCEPT -A OUTPUT -d your_other_server_ip/32 -p tcp -m tcp --sport 27017 -m state --state ESTABLISHED -j ACCEPT -A OUTPUT -o lo -j ACCEPT
И, наконец, сохранить правила:
netfilter-persistent save
Чтобы узнать больше об правилах брандмауэра, взгляните на Как использовать Iptables в Linux.
Шаг 3 — Активация доступа к внешним серверам (необязательно)
Текущие версии MongoDB не принимают внешние подключения по умолчанию. Если вы ограничили доступ к определенным IP-адресам с брандмауэром, вы можете изменить конфигурацию MongoDB, чтобы подключить удаленные соединения.
Отредактируйте файл конфигурации MongoDB:
sudo nano /etc/mongod.conf
Найдите этот раздел:
# network interfaces net: port: 27017 bindIp: 127.0.0.1
MongoDB прослушивает локальный адрес замыкая на себя, поэтому он будет принимать только локальные соединения. Измените значение bindIp так, чтобы оно включало в себя IP — адрес сервера MongoDB:
# network interfaces net: port: 27017 bindIp: 127.0.0.1, your_server_ip
Сохраните файл и выйдите из редактора.
Затем перезапустите MongoDB, чтобы применить изменения:
sudo systemctl restart mongod
Теперь Ваш удаленный компьютер должен иметь возможность подключиться. Тем не менее, вы также можете включить проверку подлинности, чтобы обезопасить вашу базу данных еще больше.
Вывод
Не забудьте создать резервную копию данных и прочитать, как шифровать данные при транспортировке.
