Ошибка mongodump: x509: невозможно проверить сертификат для <server-IP>, так как он не содержит IP SAN

Я пытаюсь настроить mongodump вместе с шифрованием TLS/SSL. Я следил за различными статьями для этого: Самоподписанное SSL-соединение с использованием PyMongo, https://mydbops.wordpress.com/2020/05/02/securing-mongodb-cluster-with-tls-ssl/ и еще несколько.

Итак, я сгенерировал сертификаты CA.

#Create CA Private Certificate
openssl genrsa -passout pass:<password> -out ca.key -aes256 8192
 
#Sign CA Public Certificate
openssl req -x509 -new -extensions v3_ca -passin pass:<password> -key ca.key -days 365 -out ca-pub.crt -subj "/C=XX/L=Default City/O=Default Company Ltd"

Затем создал ключ для сервера MongoDB и самостоятельно подписал его с помощью ЦС.

openssl req -nodes -newkey rsa:4096 -sha256 -keyout mongod.key -out mongod.csr -subj "/C=XX/L=Default City/O=Default Company Ltd/CN=<host-name-IP>";
openssl x509 -req -in mongod.csr -CA ca-pub.crt -passin pass:<password> -CAkey ca.key -CAcreateserial -out mongod.crt;
cat mongod.key mongod.crt > mongod.pem;

Затем я создал файл конфигурации для клиента с содержимым:

[req]
distinguished_name = req_distinguished_name
req_extensions = v3_req
default_keyfile = mongo-client.key
prompt = no

[req_distinguished_name]
C = filled-appropriately
ST = filled-appropriately
L = filled-appropriately
O = client
OU = client-team
CN = .

[v3_req]
keyUsage = keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = IP:<mongodb-server-ip>

Затем, используя этот файл .conf, сгенерировал файл csr клиента mongo.

openssl req -new -nodes -out mongo-client.csr -config mongo-client.conf

Затем самостоятельно подпишите их с помощью сертификата ЦС.

openssl x509 -req -in mongo-client.csr -CA ca-pub.crt -CAkey ca.key -out mongo-client.crt
cat mongo-client.key mongo-client.crt > mongo-client.pem

Я поместил файлы, специфичные для сервера CA и MongoDB, в соответствующие места (в /etc/ssl) и обновил пути в файле mongod.conf.

  tls:
    mode: requireTLS
    certificateKeyFile: /etc/ssl/mongodb.pem
    CAFile: /etc/ssl/ca-pub.crt

После обновления выполнил перезагрузку демона и перезапустил mongod.service, а также переместил ca-pub.crt и mongo-client.pem на соответствующий клиентский сервер.

Теперь, когда я пытаюсь подключиться к серверу с помощью команды mongo, он успешно подключается.

mongo --tls --tlsCAFile ca-pub.crt --tlsCertificateKeyFile mongo-client.pem --host=<server-IP> -u <username> -p <password>

Но когда я пытаюсь запустить команду mongodump:

mongodump --host=<server-IP> -u <username> -p <password> --ssl --sslCAFile=ca-pub.crt --sslPEMKeyFile=mongo-client.pem

Это дает эту ошибку:

2022-03-23T13:17:29.698+0000    Failed: can't create session: could not connect to server: server selection error: server selection timeout, current topology: { Type: Single, Servers: [{ Addr: <server-IP>, Type: Unknown, State: Connected, Average RTT: 0, Last error: connection() : x509: cannot validate certificate for <server-IP> because it doesn't contain any IP SANs }, ] }

Примечание. Во всех приведенных выше кодах значение IP-адреса сервера было добавлено соответствующим образом.

Может ли кто-нибудь предоставить решение для этого или любого ресурса, который был бы полезен. Любая помощь будет оценена по достоинству. Спасибо.


93
2

Ответы:

SubjectAltName отличается от того, что я использовал в прошлом.

Создайте общий запрос на подпись

echo '[req]
default_bits = 4096
default_md = sha256
distinguished_name = req_distinguished_name

[ req_distinguished_name ]' | sudo tee common.csr.conf

openssl req -nodes -sha256 -newkey rsa:4096 -keyout node1.key.pem -out node1.csr -subj "/C=US/ST=Oregon/L=Springfield/O=Some Organization/OU=Replicaset/CN=node1" -config common.csr.conf

Создать файл расширения

echo '
basicConstraints = CA:FALSE
nsCertType = client, email
nsComment = "OpenSSL Generated Client Certificate"
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always,issuer
keyUsage = critical, nonRepudiation, digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth, clientAuth, emailProtection
subjectAltName = @alt_names

[alt_names]
DNS.1 = localhost
DNS.2 = node1.barry.test
IP.1 = 127.0.0.1' | sudo tee node1.ext

Подпишите сертификат

openssl x509 -req -sha256 -in node1.csr -CA ca.crt.pem -CAkey ca.key.pem -CAcreateserial -days 365 -out node1.crt.pem -extfile node1.ext

Объедините сертификат и ключ в файл PEM

cat node1.key.pem node1.crt.pem > node1.pem

Решено

Я сослался на эту ссылку, чтобы решить проблему: https://security.stackexchange.com/questions/74345/provide-subjectaltname-to-openssl-directly-on-the-command-line/183973?newreg=1aa964f1090e49029f2ee664382e75e4

openssl req -newkey rsa:4096 -nodes -out server.csr -keyout server.key -subj "/C=XX/ST=XX/L=XX/O=company/OU=company-unit/CN=<server-IP>";
 
openssl x509 -sha256 -req -extfile <(printf "subjectAltName=IP:<server-IP>") -days 365 -in server.csr -CA ca.pem -passin pass:password -CAkey ca_private.pem -CAcreateserial -out server-signed.crt;
 
cat server-signed.crt server.key > server.pem;

Остальные шаги, связанные с созданием сертификатов ЦС и клиентских ключей, такие же.

Ответ @barrypicker помог решить проблему с mongodump и mongorestore, но тогда не удалось подключиться к оболочке mongo.