How to connect to a MongoDB instance using an SSL-VPN tunnel - ApsaraDB for MongoDB

Bu konu, sanal özel bulut (VPC) içindeki bir ApsaraDB for MongoDB örneğine SSL-VPN tüneli kullanarak nasıl bağlanılacağını açıklar. SSL-VPN tüneli, örneği yerel bir istemciden kolayca yönetmenize olanak tanır.

Senaryolar

Yerel istemcinin genel IP adresi dinamik olarak değişir. Bu nedenle, ApsaraDB for MongoDB konsolunda yerel istemcinin genel IP adresini içeren izin listesini sık sık güncellemeniz gerekir. Süresi dolan IP adreslerini zamanında silmezseniz güvenlik riskleri ortaya çıkabilir.
Bir ApsaraDB for MongoDB örneğine internet üzerinden bağlanırken yüksek düzeyde güvenlik gereklidir.
ApsaraDB for MongoDB örneğine internet üzerinden bir Elastic Compute Service (ECS) örneğinden oturum açmanız gerekir. Bu durum güvenlik risklerine neden olabilir. Bu durumda, ECS yönetim izinlerini ApsaraDB for MongoDB veritabanı izinlerinden ayırmanız gerekir.

Faturalama

VPN ağ geçidi oluşturduğunuzda ücretlendirilirsiniz. Daha fazla bilgi için bkz. faturalamaya genel bakış.

Önkoşullar

Yerel istemcinin CIDR bloğu, ApsaraDB for MongoDB örneğinin CIDR bloğundan farklıdır.
Yerel istemci internete erişebilir.

Ağ

SSLConnection environment overview

Adım 1: VPN ağ geçidi oluşturma

Daha fazla bilgi için bkz. VPN Gateway.

VPN ağ geçidi oluştururken aşağıdaki tabloda açıklanan parametrelere dikkat edin.

Parametre	Açıklama
Bölge	VPN ağ geçidinin bulunduğu bölge. ApsaraDB for MongoDB örneğiyle aynı bölgeyi seçin.
VPC	VPC ağ geçidinin ait olduğu VPC. ApsaraDB for MongoDB örneğiyle aynı VPC'yi seçin.
IPsec-VPN	IPsec-VPN özelliğinin etkinleştirilip etkinleştirilmeyeceğini belirtir. Bu eğitimde, bir istemci doğrudan VPC'ye bağlanır. Disable seçeneğini seçin. IPsec-VPN özelliği site arası bağlantılar sağlar. Bir veri merkezi ile bir VPC arasında veya iki VPC arasında bağlantı kurmak için bir IPsec tüneli oluşturabilirsiniz.
SSL-VPN	SSL-VPN özelliğinin etkinleştirilip etkinleştirilmeyeceğini belirtir. Bu eğitimde, bir istemci doğrudan VPC'ye bağlanır. Enable seçeneğini seçin. SSL-VPN özelliği site arası VPN bağlantıları sağlar. Yerel istemci ile VPN arasında bağlantı kurmak için bir SSL-VPN tüneli kullanabilirsiniz. Yerel istemci için bir ağ geçidi yapılandırmanıza gerek yoktur.

Adım 2: SSL sunucusu oluşturma

Daha fazla bilgi için bkz. SSL sunucusu oluşturma ve yönetme.

SSL sunucusu oluştururken aşağıdaki tabloda açıklanan parametrelere dikkat edin.

Parametre	Açıklama
VPN Gateway	ApsaraDB for MongoDB örneğiyle ilişkili VPN ağ geçidi. 1. Adımda oluşturulan VPC ağ geçidini seçin.
Local Network	Yerel istemcinin SSL-VPN bağlantısını kullanarak erişmesi gereken yerel CIDR bloğu. CIDR bloğu, bir VPC'nin, bir vSwitch'in, kiralanmış hat aracılığıyla bir VPC'ye bağlı bir veri merkezinin veya ApsaraDB RDS ya da Object Storage Service (OSS) gibi bir Alibaba Cloud hizmetinin CIDR bloğu olabilir. Bu örnekte, ApsaraDB for MongoDB örneğinin ait olduğu VPC'deki vSwitch'in CIDR bloğunu girin: 172.16.1.0/24. Not CIDR bloğunun alt ağ maskesi 16 ila 29 bit uzunluğunda olmalıdır.
Client CIDR Block	Yerel istemcinin sanal ağ arabirimine ayırmak istediğiniz CIDR bloğu. Yerel istemcinin bulunduğu CIDR bloğunu girmeyin. Yerel istemci bir SSL-VPN tüneli aracılığıyla ApsaraDB for MongoDB örneğine bağlandığında, VPN ağ geçidi belirtilen CIDR bloğundan bir IP adresi seçer ve bu IP adresini yerel istemciye atar. Bu örnekte, 192.168.100.0/24 değerini girin. Not Client CIDR Block parametresinin değerinin Local Network parametresiyle örtüşmediğinden emin olun.

Adım 3: SSL istemcisi oluşturma

SSL istemcisi oluşturma hakkında daha fazla bilgi için bkz. SSL istemci sertifikaları oluşturma ve yönetme.

Sertifikayı istemcinize indirin ve yükleyin.

Adım 4: SSL-VPN bağlantısı kurma

Linux istemcisi

OpenVPN istemcisini yüklemek ve conf dizinini oluşturmak için aşağıdaki komutları çalıştırın.

CentOS

yum install -y openvpn
mkdir -p /etc/openvpn/conf

Ubuntu

apt-get update
apt-get install -y openvpn
mkdir -p /etc/openvpn/conf

İndirilen SSL istemci sertifikasının sıkıştırmasını açın ve /etc/openvpn/conf/ dizinine kopyalayın.

[root@iZt4n******* conf]# ls -lh /etc/openvpn/conf/
total 16K
-rw-r--r-- 1 root root 1.3K Nov 26 01:07 ca.crt
-rw-r--r-- 1 root root  218 Nov 26 01:21 config.ovpn
-rw-r--r-- 1 root root 1.2K Nov 26 01:07 vsc-rj9s*******.crt
-rw-r--r-- 1 root root 1.7K Nov 26 01:07 vsc-rj9s*******.key

/etc/openvpn/conf/ dizinine gidin ve VPN bağlantısını kurmak için aşağıdaki komutu çalıştırın.
```
openvpn --config /etc/openvpn/conf/config.ovpn --daemon
```

(İsteğe bağlı) OpenVPN işleminin başlangıçta otomatik olarak başlamasını etkinleştirme

/etc/rc.local dosyasını düzenleyin ve komutları dosyaya ekleyin.

#Open the /etc/rc.local file in edit mode
vi /etc/rc.local 
#Press the i key to enter file editing mode, and then add the following commands to the /etc/rc.local file
cd /etc/openvpn/conf/
openvpn --config /etc/openvpn/conf/config.ovpn --daemon
#Press the Esc key to exit file editing mode, and then enter the following command to save and exit the file
:wq

/etc/rc.local dosyasına yürütme izni ekleyin.
```
chmod +x /etc/rc.local
```

Windows istemcisi

Windows sistem sürümünüzle uyumlu OpenVPN istemcisini indirin ve arayüzdeki talimatları izleyerek kurulumu tamamlayın:
- Windows 64-bit sistem (Intel/AMD): OpenVPN istemcisi (Windows 64-bit).
- Windows ARM64 sistemi: OpenVPN istemcisi (Windows ARM64).
İndirilen SSL istemci sertifikasının sıkıştırmasını açın ve çıkarılan tüm dosyaları OpenVPN yapılandırma dizinine kopyalayın.
- Varsayılan yol: C:\Program Files\OpenVPN\config
- Not: Kurulum yolunu değiştirdiyseniz bunları gerçek kurulum dizininizdeki config klasörüne kopyalayın.
config.ovpn dosyasını Not Defteri ile açın ve sonuna şu satırı ekleyin: disable-dco.

OpenVPN 2.6'da tanıtılan Data Channel Offload (DCO) özelliği, bazı Windows sistemlerinde (örneğin Windows 10/11'in belirli sürümlerinde) uyumluluk sorunlarına neden olur. Bu yapılandırma, bazı cihazların bağlanamama sorununu çözmek için DCO'yu devre dışı bırakmak amacıyla kullanılır.
Masaüstünün sağ alt köşesindeki sistem tepsisindeki OpenVPN simgesine sağ tıklayın ve ardından VPN bağlantısını kurmak için Connect seçeneğine tıklayın.
State Connected olarak görüntüleniyorsa ve bir IP adresi atanmışsa bağlantı başarıyla kurulmuş demektir.

Adım 5: ApsaraDB for MongoDB örneğinde oturum açma

SSL sunucu yapılandırmasında belirtilen istemci CIDR bloğunu ApsaraDB for MongoDB örneğinin izin listesine ekleyin. Bu örnekte, 192.168.100.0/24 bloğunu ApsaraDB for MongoDB örneğinin izin listesine ekleyin.
ApsaraDB for MongoDB konsolu üzerinde oturum açın.
ApsaraDB for MongoDB örneğinin dahili uç noktalarını edinin. Daha fazla bilgi için bkz. Çoğaltma kümesi örneğine bağlanma.
ApsaraDB for MongoDB örneğinde oturum açmak için mongo shell veya diğer yönetim araçlarını kullanın. mongo shell hakkında daha fazla bilgi için bkz. mongo shell kullanarak bir ApsaraDB for MongoDB çoğaltma kümesi örneğine bağlanma.

Not
ApsaraDB for MongoDB örneğinde oturum açmak için örneğin dahili uç noktasını kullanın.