Habilitar TLS en una conexión

Overview

En esta guía, puede aprender cómo conectarse a instancias de MongoDB con el Protocolo de seguridadTLS/SSL que utiliza la compatibilidad subyacente con TLS/SSL en .NET Framework. Para configurar su conexión para usar TLS/SSL, habilite la configuración de TLS/SSL en... cadena de conexión o MongoClientSettings.

Habilitar TLS

De forma predeterminada, TLS está deshabilitado al conectarse a instancias de MongoDB. Puede habilitar TLS para la conexión a su instancia de MongoDB de dos maneras diferentes: mediante una propiedad en un MongoClientSettings objeto o a través de un parámetro en su cadena de conexión.

var settings = new MongoClientSettings { UseTls = true };
var client = new MongoClient(settings);

var mongoClient = new MongoClient("mongodb://<db_username>:<db_password>@<hostname>:<port>?tls=true");

Configurar un certificado de cliente

Puede configurar su certificado X.509 usando MongoClientSettings. El siguiente ejemplo de código crea un nuevo objeto de certificado X.509 usando el archivo de certificado client.p12, protegido por la contraseña mySuperSecretPassword. A continuación, el código añade este certificado a la matriz SslSettings.ClientCertificates en MongoClientSettings.

var cert = new X509Certificate2("client.p12", "mySuperSecretPassword");
var settings = new MongoClientSettings
{
   SslSettings = new SslSettings
   {
      ClientCertificates = new[] { cert }
   },
   UseTls = true
};

Permitir TLS inseguro

Cuando TLS está habilitado, el controlador .NET/C# verifica automáticamente el certificado que presenta el servidor. Al probar el código, puede deshabilitar la verificación del certificado. Esto se conoce como TLS inseguro.

Al usar TLS inseguro, el único requisito es que el servidor presente un certificado X.509. El controlador aceptará un certificado incluso si se cumple alguna de las siguientes condiciones:

• El nombre de host del servidor y el nombre del sujeto (o nombre alternativo del sujeto) en el certificado no coinciden.

• El certificado está caducado o aún no es válido.

• El certificado no tiene un certificado raíz confiable en la cadena.

• El propósito del certificado no es válido para la identificación del servidor.

Puede permitir TLS inseguro de dos maneras diferentes: utilizando una propiedad en un objeto MongoClientSettings o a través de un parámetro en su cadena de conexión.

var settings = new MongoClientSettings
{
   UseTls = true,
   AllowInsecureTls = true
};
var client = new MongoClient(settings);

var mongoClient = new MongoClient("mongodb://<db_username>:<db_password>@<hostname>:<port>?tls=true&tlsInsecure=true");

Comprobar revocación de certificado

Cuando ya no se debe confiar en un certificado X.509 (por ejemplo, si su clave privada se ha visto comprometida), la autoridad certificadora revocará el certificado.

De forma predeterminada, el controlador .NET/C# no comprueba si el certificado de un servidor ha sido revocado antes de conectarse. Puede habilitar la comprobación de revocación mediante MongoClientSettings o la cadena de conexión.

var settings = new MongoClientSettings
{
   SslSettings = new SslSettings
   {
      CheckCertificateRevocation = true
   },
   UseTls = true
};

var mongoClient = new MongoClient("mongodb://<db_username>:<db_password>@<hostname>:<port>?tls=true&tlsDisableCertificateRevocationCheck=false");

Documentación de la API

Para obtener más información sobre cualquiera de las opciones de conexión analizadas en esta guía, consulte la siguiente documentación de API:

• MongoClientSettings