How to connect to a MongoDB instance using an SSL-VPN tunnel - ApsaraDB for MongoDB: Central de Documentação do Alibaba Cloud

Este tópico descreve como conectar-se a uma instância do ApsaraDB for MongoDB em uma Virtual Private Cloud (VPC) por meio de um túnel SSL-VPN. Esse túnel facilita o gerenciamento da instância a partir de um cliente local.

Cenários

O endereço IP público do cliente local sofre alterações dinâmicas. Por isso, é necessário atualizar com frequência a lista de permissões de IP no console do ApsaraDB for MongoDB para incluir o novo endereço. Deixar de excluir endereços IP expirados em tempo hábil pode gerar riscos de segurança.
A conexão com uma instância do ApsaraDB for MongoDB pela Internet exige um alto nível de segurança.
O acesso à instância do ApsaraDB for MongoDB a partir de uma instância do Elastic Compute Service (ECS) pela Internet pode gerar riscos de segurança. Nesse cenário, é fundamental separar as permissões de gerenciamento do ECS das permissões do banco de dados ApsaraDB for MongoDB.

Faturamento

A criação de um gateway VPN gera custos. Para mais informações, consulte billing overview.

Pré-requisitos

O bloco CIDR do cliente local é diferente do bloco CIDR da instância do ApsaraDB for MongoDB.
O cliente local tem acesso à Internet.

Rede

SSLConnection environment overview

Etapa 1: Crie um gateway VPN

Para mais informações, consulte VPN Gateway.

Ao criar um gateway VPN, atente-se aos parâmetros descritos na tabela a seguir.

Parâmetro	Descrição
Region	A região onde o gateway VPN reside. Selecione a mesma região da instância do ApsaraDB for MongoDB.
VPC	A VPC à qual o gateway VPC pertence. Selecione a mesma VPC da instância do ApsaraDB for MongoDB.
IPsec-VPN	Define se o recurso IPsec-VPN deve ser ativado. Neste tutorial, um cliente se conecta diretamente à VPC. Selecione Disable. O recurso IPsec-VPN fornece conexões site a site. Você pode criar um túnel IPsec para estabelecer uma conexão entre um data center e uma VPC ou entre duas VPCs.
SSL-VPN	Define se o recurso SSL-VPN deve ser ativado. Neste tutorial, um cliente se conecta diretamente à VPC. Selecione Enable. O recurso SSL-VPN fornece conexões VPN site a site. Você pode usar um túnel SSL-VPN para estabelecer uma conexão entre o cliente local e a VPN. Não é necessário configurar um gateway para o cliente local.

Etapa 2: Crie um servidor SSL

Para mais informações, consulte Create and manage an SSL server.

Ao criar um servidor SSL, atente-se aos parâmetros descritos na tabela a seguir.

Parâmetro	Descrição
VPN Gateway	O gateway VPN associado à instância do ApsaraDB for MongoDB. Selecione o gateway VPC criado na Etapa 1.
Local Network	O bloco CIDR local que o cliente local precisa acessar usando a conexão SSL-VPN. O bloco CIDR pode ser o bloco CIDR de uma VPC, um vSwitch, um data center conectado a uma VPC por meio de uma linha dedicada ou um service da Alibaba Cloud, como o ApsaraDB RDS ou o Object Storage Service (OSS). Neste exemplo, insira o bloco CIDR do vSwitch na VPC à qual a instância do ApsaraDB for MongoDB pertence: 172.16.1.0/24. Nota A máscara de sub-rede do bloco CIDR deve ter de 16 a 29 bits.
Client CIDR Block	O bloco CIDR que você deseja alocar para a interface de rede virtual do cliente local. Não insira o bloco CIDR onde o cliente local reside. Quando o cliente local se conecta à instância do ApsaraDB for MongoDB usando um túnel SSL-VPN, o gateway VPN seleciona um endereço IP do bloco CIDR especificado e o atribui ao cliente local. Neste exemplo, insira 192.168.100.0/24. Nota Certifique-se de que o valor do parâmetro Client CIDR Block não se sobreponha ao valor do parâmetro Local Network.

Etapa 3: Crie um cliente SSL

Para mais informações sobre como criar um cliente SSL, consulte Create and manage SSL client certificates.

Baixe e instale o certificado no seu cliente.

Etapa 4: Estabeleça uma conexão SSL-VPN

Cliente Linux

Execute os comandos a seguir para instalar o cliente OpenVPN e criar o diretório conf.

CentOS

yum install -y openvpn
mkdir -p /etc/openvpn/conf

Ubuntu

apt-get update
apt-get install -y openvpn
mkdir -p /etc/openvpn/conf

Descompacte e copie o certificado de cliente SSL baixado para o diretório /etc/openvpn/conf/.

[root@iZt4n******* conf]# ls -lh /etc/openvpn/conf/
total 16K
-rw-r--r-- 1 root root 1.3K Nov 26 01:07 ca.crt
-rw-r--r-- 1 root root  218 Nov 26 01:21 config.ovpn
-rw-r--r-- 1 root root 1.2K Nov 26 01:07 vsc-rj9s*******.crt
-rw-r--r-- 1 root root 1.7K Nov 26 01:07 vsc-rj9s*******.key

Acesse o diretório /etc/openvpn/conf/ e execute o comando a seguir para estabelecer a conexão VPN.
```
openvpn --config /etc/openvpn/conf/config.ovpn --daemon
```

(Opcional) Ative a inicialização automática do processo do OpenVPN

Edite o arquivo /etc/rc.local e adicione os comandos ao arquivo.

#Open the /etc/rc.local file in edit mode
vi /etc/rc.local 
#Press the i key to enter file editing mode, and then add the following commands to the /etc/rc.local file
cd /etc/openvpn/conf/
openvpn --config /etc/openvpn/conf/config.ovpn --daemon
#Press the Esc key to exit file editing mode, and then enter the following command to save and exit the file
:wq

Adicione permissão de execução ao arquivo /etc/rc.local.
```
chmod +x /etc/rc.local
```

Cliente Windows

Baixe o cliente OpenVPN compatível com a versão do seu sistema Windows e conclua a instalação conforme as instruções da interface:
- Sistema Windows 64 bits (Intel/AMD): OpenVPN client (Windows 64-bit).
- Sistema Windows ARM64: OpenVPN client (Windows ARM64).
Descompacte o certificado de cliente SSL baixado e copie todos os arquivos extraídos para o diretório de configuração do OpenVPN.
- Caminho padrão: C:\Program Files\OpenVPN\config
- Nota: Se você modificou o caminho de instalação, copie-os para a pasta config no seu diretório de instalação real.
Abra o arquivo config.ovpn com o Bloco de Notas e adicione uma linha no final: disable-dco.

O recurso Data Channel Offload (DCO), introduzido no OpenVPN 2.6, apresenta problemas de compatibilidade em alguns sistemas Windows (como versões específicas do Windows 10/11). Essa configuração desativa o DCO para resolver o problema de conexão em alguns dispositivos.
Clique com o botão direito no ícone do OpenVPN na bandeja do sistema, no canto inferior direito da área de trabalho, e clique em Connect para estabelecer a conexão VPN.
Se o State for exibido como Connected e um endereço IP for atribuído, a conexão foi estabelecida com sucesso.

Etapa 5: Conecte-se à instância do ApsaraDB for MongoDB

Adicione o bloco CIDR do cliente especificado na configuração do servidor SSL à lista de permissões de IP da instância do ApsaraDB for MongoDB. Neste exemplo, adicione 192.168.100.0/24 à lista de permissões de IP da instância do ApsaraDB for MongoDB.
Acesse o console do ApsaraDB for MongoDB.
Obtenha os endpoints internos da instância do ApsaraDB for MongoDB. Para mais informações, consulte Connect to a replica set instance.
Use o mongo shell ou outras ferramentas de gerenciamento para se conectar à instância do ApsaraDB for MongoDB. Para mais informações sobre o mongo shell, consulte Connect to an ApsaraDB for MongoDB replica set instance by using the mongo shell.

Nota
Conecte-se à instância do ApsaraDB for MongoDB usando o endpoint interno da instância.