MongoDB용 Windows netsh 방화벽 구성

mongod.exe 인스턴스와 주고받는 트래픽

이 패턴은 독립형 인스턴스 또는 복제본 세트의 일부로 실행되는 모든 mongod.exe 인스턴스에 적용할 수 있습니다. 이 패턴의 목표는 애플리케이션 서버에서 mongod.exe 인스턴스로의 트래픽을 명시적으로 허용하는 것입니다.

netsh advfirewall firewall add rule name="Open mongod port 27017" dir=in action=allow protocol=TCP localport=27017

이 규칙은 애플리케이션 서버가 mongod.exe 인스턴스에 연결할 수 있도록 하는 포트 27017에서 에서 들어오는 모든 트래픽을 허용합니다.

Windows Firewall 또한, 다음 예와 같이 특정 포트가 아닌 전체 애플리케이션에 대한 네트워크 액세스를 활성화할 수 있습니다.

netsh advfirewall firewall add rule name="Allowing mongod" dir=in action=allow program=" C:\Program Files\MongoDB\Server\3.4\bin\mongod.exe"

다음 호출을 사용하여 mongos.exe 서버에 대한 모든 액세스를 허용할 수 있습니다.

netsh advfirewall firewall add rule name="Allowing mongos" dir=in action=allow program=" C:\Program Files\MongoDB\Server\3.4\bin\mongos.exe"

mongos.exe 인스턴스와 주고받는 트래픽

mongos.exe 인스턴스는 샤드 클러스터에 대한 쿼리 라우팅을 제공합니다. 클라이언트는 mongos.exe 인스턴스에 연결하며, 이 인스턴스는 클라이언트 관점에서 mongod.exe 인스턴스로 작동합니다. 차례로 mongos.exe은 cluster의 components인 모든 mongod.exe 인스턴스에 연결합니다.

복제본 세트의 구성원인 mongod.exe 인스턴스에서와 마찬가지로 이러한 인스턴스와의 트래픽을 허용하려면 동일한 Windows Firewall 명령을 사용합니다.

netsh advfirewall firewall add rule name="Open mongod shard port 27018" dir=in action=allow protocol=TCP localport=27018

MongoDB 구성 서버와의 트래픽

구성 서버는 샤드 클러스터의 메타데이터를 저장하는 config 데이터베이스를 호스팅합니다. 각 프로덕션 cluster에는 mongod --configsvr 옵션을 사용하여 시작된 3개의 구성 서버가 있습니다. [1] 구성 서버가 포트 27019에서 연결을 수신 대기합니다. 결과적으로 다른 구성 서버에 연결하기 위해 포트 27019에서 수신 및 발신 연결을 허용하도록 구성 서버에 다음 Windows Firewall 규칙을 추가합니다.

netsh advfirewall firewall add rule name="Open mongod config svr port 27019" dir=in action=allow protocol=TCP localport=27019

또한, config 서버는 클러스터의 모든 mongos.exe 인스턴스 및 클러스터의 모든 mongod.exe 인스턴스에서 들어오는 연결을 허용해야 합니다. 다음과 유사한 규칙을 추가합니다:

netsh advfirewall firewall add rule name="Open mongod config svr inbound" dir=in action=allow protocol=TCP remoteip=<ip-address> localport=27019

<ip-address>를 mongos.exe 인스턴스 및 샤드 mongod.exe 인스턴스의 주소로 대체합니다.

MongoDB 샤드 서버 간 트래픽

샤드 서버의 경우 mongod --shardsvr로 실행 [2] clusterRole 설정에 대한 shardsvr 값으로 실행할 때 기본 포트 번호가 27018이므로 각 샤드 간의 트래픽을 허용하도록 다음 Windows Firewall 규칙을 구성해야 합니다.

netsh advfirewall firewall add rule name="Open mongod shardsvr inbound" dir=in action=allow protocol=TCP remoteip=<ip-address> localport=27018
netsh advfirewall firewall add rule name="Open mongod shardsvr outbound" dir=out action=allow protocol=TCP remoteip=<ip-address> localport=27018

<ip-address> 사양을 모든 mongod.exe 인스턴스의 IP 주소로 대체합니다. 이를 통해 다음에 대한 구성 복제본 세트 멤버를 포함한 모든 샤드 간에 들어오고 나가는 트래픽을 허용합니다.

• 샤드의 복제본 세트에 있는 모든 mongod.exe 인스턴스.

• 다른 샤드의 모든 mongod.exe 인스턴스. [3]

또한, 샤드는 다음 대상으로 나가는 연결을 만들 수 있어야 합니다.

• 모든 mongos.exe 인스턴스.

• 구성 서버의 모든 mongod.exe 인스턴스.

다음과 유사한 규칙을 만들고 <ip-address> 을 config 서버 및 mongos.exe 인스턴스의 주소로 바꿉니다.

netsh advfirewall firewall add rule name="Open mongod config svr outbound" dir=out action=allow protocol=TCP remoteip=<ip-address> localport=27018

모니터링 시스템에 대한 액세스 권한 제공

mongostat 진단 도구는 --discover 와 함께 실행할 때 config 서버, 샤드 서버 및 mongos.exe 인스턴스를 포함하여 클러스터의 모든 구성 요소에 연결할 수 있어야 합니다.

기본 MongoDB 포트에 대한 Windows 방화벽 규칙 삭제

mongod.exe 트래픽을 허용하는 방화벽 규칙을 삭제하는 방법은 다음과 같습니다.

netsh advfirewall firewall delete rule name="Open mongod port 27017" protocol=tcp localport=27017
netsh advfirewall firewall delete rule name="Open mongod shard port 27018" protocol=tcp localport=27018

모든 Windows 방화벽 규칙 나열

모든 Windows Firewall 규칙의 목록을 다음과 같이 반환합니다.

netsh advfirewall firewall show rule name=all

Windows 방화벽 재설정

다음과 같이 Windows Firewall 규칙을 재설정합니다.

netsh advfirewall reset

Windows 방화벽 규칙 백업 및 복원

대규모 시스템의 관리를 간소화하기 위해 Windows 방화벽 규칙을 내보내거나 가져올 수 있습니다.

• 모든 Windows 방화벽 규칙을 내보내려면 다음 명령을 실행합니다.

  netsh advfirewall export "C:\temp\MongoDBfw.wfw"

  "C:\temp\MongoDBfw.wfw"를 원하는 경로로 바꿉니다.

• Windows 방화벽 규칙을 가져오려면 다음 명령을 실행합니다.

  netsh advfirewall import "C:\temp\MongoDBfw.wfw"

  "C:\temp\MongoDBfw.wfw"를 Windows 방화벽 규칙이 포함된 파일 경로로 바꿉니다.