从零开始：在Linux上部署并加固MongoDB

前言

MongoDB作为最受欢迎的数据库之一，凭借其灵活的文档模型、高性能读写能力以及良好的横向扩展性，被广泛应用于日志系统、实时分析、内容管理等场景。然而，“开箱即用”的便利背后，往往隐藏着巨大的安全风险。

多年来，因MongoDB默认配置过于宽松——尤其是27017端口对外开放、无身份认证、未绑定本地地址——导致全球数以万计的数据库被黑客扫描、清空甚至勒索。这些本可避免的事故，一次次警示我们：部署只是第一步，加固才是运维的核心责任。

本文将带你从零开始，在主流Linux发行版（如CentOS、Ubuntu）上完成MongoDB的安装、基础配置，并重点聚焦生产环境下的安全加固实践：包括网络绑定、用户权限控制、防火墙策略、日志审计等关键环节。无论你是开发人员临时搭建测试环境，还是运维工程师负责线上服务，都能从中获得可落地的安全配置方案。

安全不是功能，而是底线。让我们从关闭一个危险端口开始，为你的数据穿上铠甲。

image-20260319115323619

1.什么是MongoDB？

MongoDB是一个开源、高性能、面向文档的NoSQL数据库。

面向文档（Document-Oriented）

  • 数据以BSON（Binary JSON） 格式存储，类似JSON对象。
  • 灵活的模式（Schema-less）
  • 同一集合（Collection）中的文档可以有不同的字段，无需预先定义表结构。

高性能 & 可扩展

  • 支持索引、聚合、内存映射等优化。
  • 原生支持水平扩展：通过 分片（Sharding） 分布数据到多个服务器。

高可用

  • 通过副本集（Replica Set） 实现自动故障转移和数据冗余。

丰富的查询语言

  • 支持复杂查询、正则匹配、地理空间查询、聚合管道（Aggregation Pipeline）等。

    与传统关系型数据库（如MySQL）对比：

特性 MongoDB MySQL
数据模型 文档 (JSON-like) 表 (行/列)
模式 动态 (灵活) 静态 (需预定义)
扩展方式 水平扩展（分片） 垂直扩展为主
事务 支持 (4.0+ 多文档事务) 强支持 (ACID)
适用场景 快速迭代、半结构化数据、高写入负载 强一致性、复杂关联查询

典型应用场景：

  • 内容管理系统（CMS）
  • 实时分析 / 日志存储
  • 物联网（IoT）设备数据
  • 移动 App 后端
  • 用户配置/画像存储

MongoDB适合需要灵活性、高吞吐、快速开发的场景，尤其在处理非结构化或半结构化数据时优势明显。但它不擅长复杂多表关联查询，这类需求仍推荐使用关系型数据库。

2.MongoDB安装与启动

2.1 环境准备

  • 操作系统：Linux CentOS 7
  • 安装包：mongodb-linux-x86_64-rhel70-4.0.27.tgz

2.2 安装包下载

官网下载地址：https://www.mongodb.com/try/download/community

403a788e31a38a8c629cde2e823b3d1d

也可以直接复制下载地址，然后直接在Linux服务器上使用wget下载。

wget https://fastdl.mongodb.org/linux/mongodb-linux-x86_64-rhel70-4.4.30.tgz

windows也可以一键下载：

image-20260319115817853

下载后直接到本地，部署就可以！

2.3 MongoDB安装

将下载好的安装包上传到Linux服务器/app目录下：

c514a58fa00102cf7126ad9672fddca4

并使用以下命令解压压缩包：

tar -zxvf mongodb-linux-x86_64-rhel70-4.4.30.tgz

将解压后的目录移动到 /usr/local 目录下，并改名为 mongodb 。

mv mongodb-linux-x86_64-rhel70-4.4.30 /usr/local/mongodb

进入mongodb目录，并创建文件夹data，在data文件夹下再创建db文件夹（用于存放数据库数据）和log文件夹（存放mongo日志）。然后为其设置可读写权限。

# 进入目录
cd /usr/local/mongodb/
# 创建三个文件夹
mkdir data data/db data/log
# 设置可读写权限
sudo chmod 666 data/db data/log/

1d13f70474b7d6b0101c7c8c807eb3e2

在mongodb目录下新建配置文件mongodb.conf，打开文件输入以下内容。

# 数据库数据存放目录
dbpath=/usr/local/mongodb/data/db
# 日志文件存放目录
logpath=/usr/local/mongodb/data/log/mongodb.log
# 日志追加方式
logappend=true
# 端口
port=27017
# 是否认证
auth=true
# 以守护进程方式在后台运行
fork=true
# 远程连接要指定ip，否则无法连接；0.0.0.0代表不限制ip访问
bind_ip=0.0.0.0

40f561257176f0ae0d222d0d41d5f604

配置环境变量，使用 sudo vi /etc/profile 命令打开系统文件，并在末尾加入以下内容后保存，最后使用 source /etc/profile 命令重启系统配置。

export MONGODB_HOME=/usr/local/mongodb
export PATH=$PATH:$MONGODB_HOME/bin

4f105b07f426be6491a6bc799f345978

2.4 MongoDB启动

完成以上步骤即可启动Mongo服务。

mongod -f /usr/local/mongodb/mongodb.conf

9e380ac650656f298cf4eea78d50cf4a

使用安装目录下bin目录的mongo客户端命令连接和访问MongoDB，默认会链接到test数据库。

53f8374b496fda0f0d043c1ef769b5d5

3.基础配置MongoDB

3.1 配置MongoDB服务

配置mangodb开机自启动：

vi /lib/systemd/system/mongodb.service

[Unit]
    Description=mongodb
    After=network.target remote-fs.target nss-lookup.target
[Service]
    Type=forking
    ExecStart=/usr/local/mongodb/bin/mongod -f /usr/local/mongodb/mongodb.conf
    ExecReload=/bin/kill -s HUP $MAINPID
    ExecStop=/usr/local/mongodb/bin/mongod -f /usr/local/mongodb/mongodb.conf --shutdown
    PrivateTmp=true
[Install]
    WantedBy=multi-user.target

image-20260319105135740

使服务生效：

systemctl start mongodb.service
systemctl status mongodb.service
systemctl enable mongodb.service
systemctl daemon-reload

image-20260319110323633

3.2 创建管理员账号

内置角色：

  • 数据库用户角色：read、readWrite
  • 数据库管理角色：dbAdmin、dbOwner、userAdmin
  • 集群管理角色：clusterAdmin、clusterManager、clusterMonitor、hostManager
  • 备份恢复角色：backup、restore
  • 所有数据库角色：readAnyDatabase、readWriteAnyDatabase、userAdminAnyDatabase、dbAdminAnyDatabase
  • 超级用户角色：root
  • 内部角色：__system

切换到admin数据库，使用以下命令创建管理账号，拥有操作所有数据库权限：

use admin
db.createUser({user:"admin",pwd:"123456",roles:[{role:"userAdminAnyDatabase",db:"admin"}]})

image-20260319110508599

验证:

use admin
db.auth("admin","123456")
show tables

image-20260319110625580

3.3 创建用户和密码

use admin
db.auth("admin","123456")
# 新用户的认证库
use nobody
# 创建chenpi用户，密码123465，对nobody数据库有读写权限
db.createUser({user:'ceshi',pwd:'123456',roles:[{role:'readWrite',db:'nobody'}]})

image-20260319111206814

3.4 连接可视化工具

我使用的可视化的工具是（MongoDB Compass):

点击如图所示：

image-20260319115500866

添加主机的地址+端口：

image-20260319115611340

我们可以看见已经连接成功啦（为了直观看见，我添加了颜色）：

image-20260319115708160

在开发和测试过程中，我们常常将MongoDB部署在本地机器或内网服务器上。这种部署方式安全、便捷，但也带来一个现实问题：

“如何让外部设备（如手机App、远程同事、云服务）访问这台没有公网IP的MongoDB？”

传统方案可能需要配置路由器端口转发、申请云服务器做跳板，甚至暴露数据库到公网——不仅复杂，还存在严重的安全隐患。

这时候，一款轻量级、安全可靠的内网穿透工具就显得尤为重要。cpolar正是为此而生。

4.安装cpolar内网穿透工具

4.1 什么是cpolar？

cpolar是一款安全高效的内网穿透工具，无需公网IP或复杂配置，只需一条命令，即可将本地服务器、Web服务或任意端口映射到公网，让你随时随地远程访问内网应用，特别适合开发调试、远程运维和应急部署等场景。

4.2 安装cpolar

cpolar 可以将你本地电脑中的服务（如 SSH、Web、数据库）映射到公网。即使你在家里或外出时，也可以通过公网地址连接回本地运行的开发环境。

❤️以下是安装cpolar步骤：

官网在此：https://www.cpolar.com

使用一键脚本安装命令：

sudo curl https://get.cpolar.sh | sh

image-20250814101639846

安装完成后，执行下方命令查看cpolar服务状态：（如图所示即为正常启动）

sudo systemctl status cpolar

22e5adfaf290a17fc3384bb296055259

Cpolar安装和成功启动服务后，在浏览器上输入虚拟机主机IP加9200端口即:【ip:9200】访问Cpolar管理界面，使用Cpolar官网注册的账号登录,登录后即可看到cpolar web 配置界面,接下来在web 界面配置即可：

打开浏览器访问本地9200端口，使用cpolar账户密码登录即可,登录后即可对隧道进行管理。

8a6698b1bf26d64ba3645827fbfb1c29

5.配置公网地址

通过配置，你可以在本地 WSL 或 Linux 系统上运行 SSH 服务，并通过 Cpolar 将其映射到公网，从而实现从任意设备远程连接开发环境的目的。

  • 隧道名称：可自定义，本例使用了:mongo，注意不要与已有的隧道名称重复
  • 协议：tcp
  • 本地地址：27017
  • 端口类型：随机临时TCP端口
  • 地区：China Top

image-20260319114431314

创建成功后，打开左侧在线隧道列表,可以看到刚刚通过创建隧道生成了公网地址，接下来就可以在其他电脑或者移动端设备（异地）上，使用任意一个地址在终端中访问即可。

  • tcp 表示使用的协议类型

  • 2.tcp.cpolar.top是 Cpolar 提供的域名

  • 16766是随机分配的公网端口号

image-20260319114509267

通过Cpolar提供的公网地址和端口，mangodb就可以从任意一台主机连接到啦！

image-20260319114617277

image-20260319114646202

6.保留固定TCP公网地址

使用cpolar为其配置TCP地址，该地址为固定地址，不会随机变化。

选择区域和描述：有一个下拉菜单，当前选择的是“China Top”。
右侧输入框，用于填写描述信息。
保留按钮：在右侧有一个橙色的“保留”按钮，点击该按钮可以保留所选的TCP地址。
列表中显示了一条已保留的TCP地址记录。

  • 地区：显示为“China Top”。

  • 地址：显示为“6.tcp.cpolar.top:11736”。

image-20260319114815672

登录cpolar web UI管理界面，点击左侧仪表盘的隧道管理——隧道列表，找到所要配置的隧道mysql，点击右侧的编辑。

image-20260319114834878

修改隧道信息，将保留成功的TCP端口配置到隧道中。

  • 端口类型：选择固定TCP端口
  • 预留的TCP地址：填写保留成功的TCP地址

点击更新。

image-20260319114906642

创建完成后，打开在线隧道列表，此时可以看到随机的公网地址已经发生变化，地址名称也变成了保留和固定的TCP地址。

image-20260319114937673

最后测试一下固定的地址是否好用:

image-20260319115030509

image-20260319115228872

这样，我们成功打破了“没有公网IP就无法远程访问数据库”的固有认知。

总结

在Linux上部署MongoDB不仅要完成安装，更要注重安全加固：通过创建专用系统用户、启用认证授权、限制bindIp绑定地址、配置防火墙规则，并配合强密码策略和日志审计，才能有效防止未授权访问与数据泄露，构建一个既可用又安全的数据库服务。

感谢您对本篇文章的喜爱，有任何问题欢迎留言交流。cpolar官网-安全的内网穿透工具 | 无需公网ip | 远程访问 | 搭建网站

Share:

鸽子

鸽子

我是鸽子，是这个网站的文章编辑之一！喜欢研究各种有趣的开源项目。希望大家喜欢我的文章！

发表回复

目录

On Key

推荐文章