上周写了个简短的新闻《MongoDB裸奔，2亿国人求职简历泄漏！》：
根据安全站点HackenProof的报告，由于MongoDB数据库没有采取任何安全保护措施，导致共计202,730,434份国人求职简历泄漏。
然后很多人评论说MongoDB躺枪了。
MongoDB确实躺枪了，因为这事的责任当然不在数据库，而在于使用数据库的人没有做必要的安全配置。
那么我们应该如何保证MongoDB的安全性？下面我将介绍保护MongoDB的3个简单的方法：
绑定局域网IP，杜绝互联网访问
配置防火墙，保护27017端口
配置账号密码，对数据库进行访问控制
本教程所使用的系统配置如下：
Ubuntu 16.04
mongodb 4.0.5
Ubuntu 16.04安装MongoDB
参考MongoDB文档：Install MongoDB Community Edition on Ubuntu
sudo apt-key adv --keyserver hkp://keyserver.ubuntu.com:80 --recv 9DA31620334BD75D9DCB49F368818C72E52529D4 echo "deb [ arch=amd64,arm64 ] https://repo.mongodb.org/apt/ubuntu xenial/mongodb-org/4.0 multiverse" | sudo tee /etc/apt/sources.list.d/mongodb-org-4.0.list sudo apt-get update sudo apt-get install -y mongodb-org=4.0.5 mongodb-org-server=4.0.5 mongodb-org-shell=4.0.5 mongodb-org-mongos=4.0.5 mongodb-org-tools=4.0.5 sudo service mongod start 1. 绑定局域网IP，杜绝互联网访问话说MongoDB被黑了这么多年，自身确实有一定的责任。版本3.6之前，MongoDB默认绑定的居然是0.0.0.0，这就意味着我们可以通过互联网访问MongoDB，那黑客当然也可以。这样的默认配置是一个很大的安全漏洞，很多MongoDB初学者都栽在这一点。关于这个问题，MongoDB的说得很委婉：
Default Bind to Localhost
Starting with MongoDB 3.6, MongoDB binaries, mongod and mongos, bind to localhost by default. From MongoDB versions 2.6 to 3.4, only the binaries from the official MongoDB RPM (Red Hat, CentOS, Fedora Linux, and derivatives) and DEB (Debian, Ubuntu, and derivatives) packages would bind to localhost by default.
也就是说，从3.6开始，MongoDB默认绑定localhost，这就意味着我们只能在本机访问MongoDB。至于2.6到3.4，只有从MongoDB RPM与DEB下载的安装包才默认绑定localhost，换句话说，其他方式下载的安装包则默认绑定0.0.0.0。因此，如果你使用的MongoDB是3.6之前的版本，就要特别注意这一点了。
在开发环境下，MongoDB绑定localhost没毛病。但是，在生产环境下，我们通常会有多个节点，这时需要修改MongoDB绑定的IP，通过配置可以实现。
如果为了省事，直接把配置为0.0.0.0，那就不太妙了。正确的做法应该是绑定局域网IP，这样只有局域网内的节点可以访问MongoDB。除非黑客端掉了你的服务器，否则他是没法访问你的MongoDB的。
哪些IP是局域网的呢？按照标准，有下面这些网段：
10.0.0.0 – 10.255.255.255
172.16.0.0 – 172.31.255.255
192.168.0.0 – 192.168.255.255
最常用的局域网网段就是192.168.0.0到192.168.255.255了。
修改MongoDB的配置文件
vim /etc/mongod.conf将设为局域网IP地址192.168.59.99：
net: port: 27017 bindIp: 192.168.59.99重启MongoDB
sudo service mongod restart 2. 配置防火墙，保护27017端口MongoDB默认使用的是27017端口，我们应该配置本地防火墙把这个端口保护起来，禁止外部IP访问。
在MongoDB绑定0.0.0.0，且没有配置防火墙的情况下，使用nmap命令远程扫描27017端口，结果如下：
nmap -p 27017 113.207.35.149 Starting Nmap 6.49BETA3 ( https://nmap.org ) at 2019-01-19 14:17 CST Nmap scan report for 113.207.35.149 Host is up (0.042s latency). PORT STATE SERVICE 27017/tcp open mongod Nmap done: 1 IP address (1 host up) scanned in 14.34 seconds可知，27017端口是"open"的，这就意味着我们可以远程访问MongoDB数据库。
配置UFW防火墙Ubuntu上默认的防火墙软件是UFW，配置起来非常简单。默认情况下，ufw并没有激活：
sudo ufw status Status: inactive执行以下命令，即可配置ufw规则，并启动防火墙：
sudo ufw default deny incoming // 默认禁止访问本机所有端口 sudo ufw default allow outgoing // 允许本机访问外部网络 sudo ufw allow 22/tcp // 允许SSH登陆 sudo ufw allow from 192.168.59.100 to any port 27017 // 仅允许局域网内IP为192.168.59.100的服务器访问mongodb sudo ufw enable我所配置的规则也非常容易理解，根据命令就能看出来。这时，再查看ufw的状态，可以发现防火墙已经激活了：
sudo ufw status Status: active To Action From -- ------ ---- 22/tcp ALLOW Anywhere 80/tcp ALLOW Anywhere 443/tcp ALLOW Anywhere 27017 ALLOW 192.168.59.100 22/tcp (v6) ALLOW Anywhere (v6)这时，再使用nmap命令远程扫描27017端口，结果如下：
nmap -p 27017 113.207.35.149 Starting Nmap 6.49BETA3 ( https://nmap.org ) at 2019-01-19 14:40 CST Nmap scan report for 113.207.35.149 Host is up (0.053s latency). PORT STATE SERVICE 27017/tcp filtered mongod Nmap done: 1 IP address (1 host up) scanned in 13.68 seconds可知，27017端口的状态为"filtered"，已经被防火墙保护起来了，更加安全。
Linux上常用的防火墙工具还有iptables，这里就不再赘述了。