Habilitar y configurar TLS

Overview

En esta guía, podrá aprender cómo utilizar el protocolo TLS para proteger su conexión a una implementación de MongoDB. TLS es un protocolo criptográfico que asegura la comunicación entre tu aplicación y MongoDB. Para configurar tu conexión para utilizar TLS, habilita la opción de TLS y proporciona tus certificados para la validación al crear un cliente.

Esta guía incluye las siguientes secciones:

• Habilitar TLS describe formas de habilitar TLS en tu conexión

• Configurar Certificados describe los certificados necesarios para configurar TLS

• Certificados de referencia en un cliente proporciona un ejemplo de cómo crear una estructura TlsOptions para configurar tus opciones de TLS

• Información adicional proporciona enlaces a recursos y documentación de la API para los tipos y métodos mencionados en esta guía

Habilitar TLS

Puedes habilitar TLS en una conexión a tu instancia de MongoDB de una de las siguientes maneras:

• Establecer la opción tls en true en tu cadena de conexión

• Establecer el campo tls de una instancia de ClientOptions en la variante Tls::Enabled con un struct TlsOptions vacío e instanciar un Client con esas opciones

Seleccione entre las siguientes pestañas Connection String y ClientOptions para ver una muestra de código correspondiente:

let uri = "mongodb://<hostname>:<port>?tls=true"
let client = Client::with_uri_str(uri).await?;

let uri = "<connection string>"
let mut client_options = ClientOptions::parse(uri).await?;
let tls_opts = TlsOptions::builder().build();
client_options.tls = Some(Tls::Enabled(tls_opts));
let client = Client::with_options(client_options)?;

Para obtener una lista completa de opciones del cliente, consulta la guía Especificar opciones de conexión.

Configurar certificados

Para iniciar correctamente una solicitud TLS, tu aplicación debe presentar certificados criptográficos para demostrar su identidad. Los certificados de tu aplicación deben almacenarse como archivos de Mail Mejorado de Privacidad (PEM) para habilitar TLS al conectar a una implementación de MongoDB. El formato de archivo PEM es un formato contenedor para certificados criptográficos.

La siguiente lista describe los componentes que tu cliente debe presentar para establecer una conexión habilitada para TLS:

Certificados de referencia en un cliente

Debe hacer referencia a sus certificados en su estructura TlsOptions para que el servidor pueda validarlos antes de que el cliente se conecte.

Primero debes convertir las rutas de tus certificados a tipos PathBuf, por lo que debes importar este tipo del módulo std::path. A continuación, llama a las funciones de constructor del struct TlsOptions para establecer los campos ca_file_path y cert_key_file_path con las rutas de los archivos de certificados.

Dentro de tu instancia de TlsOptions, puedes configurar campos opcionales para configurar TLS en tu conexión. Para propósitos de prueba, puedes establecer los campos allow_invalid_certificates y allow_invalid_hostnames.

Al establecer la opción allow_invalid_certificates en true, se deshabilita la verificación del nombre de host, y al establecer el allow_invalid_hostnames en true, se desactiva la validación del certificado.

use std::path::PathBuf;
use mongodb::{ options::{ ClientOptions, TlsOptions, Tls }, Client };
#[tokio::main]
async fn main() -> mongodb::error::Result<()> {
    let uri = "<connection string>";
    let mut client_options = ClientOptions::parse(uri).await?;
    let ca_file = PathBuf::from(r"<path to CA certificate>");
    let key_file = PathBuf::from(r"<path to client certificate>");
    let key_password = b"<password for client key>".to_vec();
    let tls_opts = TlsOptions::builder()
        .ca_file_path(ca_file)
        .cert_key_file_path(key_file)
        .tls_certificate_key_file_password(key_password)
        .build();
    client_options.tls = Some(Tls::Enabled(tls_opts));
    let _client = Client::with_options(client_options)?;
    Ok(())
}

Información Adicional

Para obtener más información sobre cómo habilitar TLS en una conexión, consulta la siguiente documentación del manual del servidor:

• TLS/SSL (Cifrado de Transporte)

• Configuración de TLS/SSL para Clientes