Security 在EC2区域传播MongoDB

我想跨Amazon的多个EC2区域分发分片/复制MongoDB设置。MongoDB是否已经对该流量进行了加密，或者我是否可以选择进行设置？或者亚马逊在其数据中心之间提供了一种特殊的VPN连接吗？

您可以自己对EC2区域之间传输的数据进行加密。亚马逊不保证他们与私人频道连接，所以你必须假设他们是通过公共网络连接的

我昨天回答了一个关于ApacheCassandra的类似问题：

我的经验是，特别是亚马逊，如果可以的话，在你的实例之间建立一个VPN网络，以确保一切都是安全的。我们在EC2上实现VPN网络时遇到的一个有趣的事实是，它加快了响应时间。。。我们选择了，到目前为止，我们对此非常满意。它可以完全虚拟化。。。并使我们能够在区域、地区和数据中心之间架起桥梁（亚马逊和非亚马逊）

另一种选择是利用：

• 在AWS的可扩展基础设施上创建亚马逊虚拟私有云，并从您选择的任何范围指定其私有IP地址范围
• 将专有网络的专用IP地址范围划分为一个或多个公用或专用子网，以便于在专有网络中运行应用程序和服务
• 使用网络访问控制列表控制单个子网的入站和出站访问
• 在Amazon S3中存储数据并设置权限，以便只能从Amazon VPC中访问数据
• 将Amazon弹性IP地址附加到VPC中的任何实例，以便直接从Internet访问
• 使用加密的VPN连接连接您的VPC和现场IT基础架构，将您现有的安全和管理策略扩展到您的VPC实例，就像它们在您的基础架构中运行一样

Vyatta有一个很好的图形，显示了VPC和Vyatta（或任何其他公司VPN解决方案）如何连接在一起（根据上面的最后一点）：

---

我不为维雅塔工作。。。就像我们在不购买昂贵的cisco gear的情况下成功地让一切正常运行一样，如果您不在EC2上运行，这些解决方案也不是真正的选择。还有另一种方法，那就是建立自己的独立于IaaS提供商的专有网络。vCider有一个解决方案，可以很好地与Mongo以及Cassandra合作。对于Cassandra来说，保护客户端/DB通信尤其痛苦，因为没有本机加密

这一切如何在这里发挥作用的好例子：

就卡桑德拉而言，这里有一些基准信息

---

使用内核中的本机加密，您可以运行得更快。

副本之间的Mongo通信不加密。所以你是在你的车上。根据mongo是否可以使用SSL，您可以跨区域中的可用性区域创建副本。您要么使用--ssl标志编译mongo，要么使用商业版。通过启用SSL的mongo，DB和客户端之间的所有通信以及副本集和仲裁器之间的通信都是安全的（请参阅）

---

有人真的尝试过这种方法吗？有什么缺点吗？

但是，区域内是安全的，对吗（即使跨可用区域）？亚马逊有安全措施，其他客户无法访问区域内的网络流量。但是，他们仍然建议您对传输中的敏感数据进行加密。维雅塔：那是一个全新的操作系统，对吗？对我们来说可能太大了。仅设置VPN部分的任何经验。亚马逊在这方面有任何策划的产品吗？在某些地区，你可以使用VPC:。。。然而，如果你想扩展到亚马逊之外，然后您需要增强解决方案我想知道此SSL支持是否还包括客户端证书身份验证选项以真正锁定它。我尝试通过使用以下链接启用SSL来安装MongoDB我可以通过上面链接中的以下步骤来安装它我跳过了所有SCON并通过以下链接进行安装行scons--ssl--prefix=/opt/mongo install。然而，我的应用程序不支持SSL连接。@RonaldRandon，我建议在mongodb用户组上发布问题