为连接启用 TLS

Overview

在本指南中，您可以学习；了解如何利用.NET框架中的根本的TLS/SSL支持，通过 TLS/SSL 安全协议连接到MongoDB实例。要配置连接以使用 TLS/SSL，请在 string连接字符串或 MongoClientSettings 中启用TLS/SSL 设置。

启用 TLS

默认情况下，连接到 MongoDB 实例时禁用 TLS。 您可以通过两种不同的方式为MongoDB实例的连接启用 TLS：使用 MongoClientSettings 对象上的属性或通过连接string中的参数。

var settings = new MongoClientSettings { UseTls = true };
var client = new MongoClient(settings);

var mongoClient = new MongoClient("mongodb://<db_username>:<db_password>@<hostname>:<port>?tls=true");

配置客户端证书

您可以使用 MongoClientSettings 配置 X.509 证书。以下代码示例使用名为 client.p12 的证书文件创建了新的 X.509 证书对象，该证书文件受密码 mySuperSecretPassword 保护。然后代码会将该证书添加到 MongoClientSettings 中的 SslSettings.ClientCertificates 数组。

var cert = new X509Certificate2("client.p12", "mySuperSecretPassword");
var settings = new MongoClientSettings
{
   SslSettings = new SslSettings
   {
      ClientCertificates = new[] { cert }
   },
   UseTls = true
};

允许不安全的 TLS

启用 TLS 后，.NET/C# 驱动程序会自动验证服务器提供的证书。测试代码时，可以禁用证书验证。这称为不安全的 TLS。

使用不安全的 TLS 时，唯一的要求是服务器提供 X.509 证书。即使满足以下任一条件，驱动程序也将接受证书：

• 服务器的主机名与证书上的主题名称（或主题备用名称）不匹配。

• 证书过期或无效。

• 证书链中没有受信任的根证书。

• 证书用途对服务器标识无效。

允许不安全 TLS 的方式有两种：使用 MongoClientSettings 对象上的属性或通过连接字符串中的参数。

var settings = new MongoClientSettings
{
   UseTls = true,
   AllowInsecureTls = true
};
var client = new MongoClient(settings);

var mongoClient = new MongoClient("mongodb://<db_username>:<db_password>@<hostname>:<port>?tls=true&tlsInsecure=true");

检查证书撤销

当 X.509 证书不再受信任时（例如，如果其私钥已被泄露），证书颁发机构将撤销该证书。

默认情况下，.NET/C# 驱动程序在连接之前不会检查服务器的证书是否已被吊销。您可以使用 MongoClientSettings 或连接字符串启用吊销检查。

var settings = new MongoClientSettings
{
   SslSettings = new SslSettings
   {
      CheckCertificateRevocation = true
   },
   UseTls = true
};

var mongoClient = new MongoClient("mongodb://<db_username>:<db_password>@<hostname>:<port>?tls=true&tlsDisableCertificateRevocationCheck=false");

API 文档

要了解有关本指南中讨论的任何连接选项的详情，请参阅以下 API 文档：

• MongoClientSettings