So konfigurieren Sie MongoDB korrekt für die Verwendung von Letsencrypt SSL unter Ubuntu

Wie konfiguriere ich MongoDB korrekt für die Verwendung von Letsencrypt SSL unter Ubuntu?

Ich habe mit Letsencrypt ein SSL-Zertifikat erstellt und es kombiniert über:

cat /etc/letsencrypt/live/example.com/fullchain.pem /etc/letsencrypt/live/example.com/privkey.pem > /etc/ssl/mongo.pem

Und Setup Mongo Konfiguration wie:

net:
  port: 27017
  bindIp: 0.0.0.0
  ssl:
    mode: requireSSL
    PEMKeyFile: /etc/ssl/mongo.pem

Beim Versuch, Mongo zu starten, wird folgende Fehlermeldung angezeigt:

No SSL certificate validation can be performed since no CA file has been provided; please specify an sslCAFile parameter

Wie stelle ich die CAFile richtig ein? Verwendet Ubuntu normalerweise keinen "CA-Pfad" mit einer Reihe verschiedener Root-Zertifikate in den eigenen Dateien? Ich habe versucht, das CURL CA-Bundle zu verwenden, aber das hat auch nicht funktioniert.

Ich benutze Mongo v3.0.12 und Ubuntu 14.04

Sie kombinieren die falschen PEM-Dateien. Sie müssen sich kombinieren privkey.pemmit cert.pem.

cat /etc/letsencrypt/live/example.com/privkey.pem /etc/letsencrypt/live/example.com/cert.pem > /etc/ssl/mongo.pem

Für die CAFile müssen Sie IdenTrust DST Root CA X3 von https://www.identrust.com/certificates/trustid/root-download-x3.html herunterladen

sudo touch /etc/ssl/ca.crt
sudo chmod 777 /etc/ssl/ca.crt

Fügen Sie das Zertifikat der Website hinzu, fügen Sie ----- BEGIN CERTIFICATE ----- und ----- END CERTIFICATE ----- hinzu und stellen Sie sicher, dass Sie mit einer neuen Zeile enden, in der die Datei gespeichert wird:

sudo vi /etc/ssl/ca.crt

Konvertieren Sie dann die CRT-Datei in ein PEM mit:

sudo touch /etc/ssl/ca.pem
sudo chmod 777 /etc/ssl/ca.pem
sudo openssl x509 -in /etc/ssl/ca.crt -out /etc/ssl/ca.pem -outform PEM

Und kombinieren Sie mit chain.pemvon Let's Encrypt zu einer einzigen Dateica.pem

sudo cat /etc/letsencrypt/live/example.com/chain.pem >> /etc/ssl/ca.pem

Um die CAFile festzulegen, gehen Sie wie folgt vor:

net:  
  port: 27017
  bindIp: 0.0.0.0
  ssl:  
    mode: requireSSL  
    PEMKeyFile: /etc/ssl/mongo.pem
    CAFile: /etc/ssl/ca.pem

Starten Sie MongoDB neu:

sudo systemctl restart mongod
sudo systemctl status mongod

Vergessen Sie nicht den Moment, in dem Sie die Let's Encrypt-Zertifikate erneuern . Sie müssen auch mongo.pemund erneuern ca.pem.

Die CA-Datei, die Sie benötigen, erhalten Sie bei Letsencrypt. Suchen Sie hier nach einem der Zwischenzertifikate:

https://letsencrypt.org/certificates/

Geben Sie dann den Pfad zu diesem Zertifikat mit der Option SSL CAFile an .