怎样在MongoDB中限制特定IP段的连接_配合iptables或云防火墙策略-MongoDB-PHP中文网

bindip仅指定监听地址，不控制客户端ip访问；限制客户端ip需结合安全组、iptables及authenticationrestrictions三者协同实现。

怎样在mongodb中限制特定ip段的连接_配合iptables或云防火墙策略

bindIp 只控制监听地址，不等于限制客户端IP

bindIp 配置项决定的是 MongoDB 进程**在哪些网卡/地址上监听连接请求**，不是白名单机制。比如设成 bindIp: 192.168.1.100，意思是“只在该 IP 对应的网卡上开 27017 端口”，外部流量若路由不到这个 IP，自然连不上——但它不校验发起连接的客户端真实 IP。所以想拦住 192.168.1.0/24 以外的访问，光靠 bindIp 不行。

用 iptables 限制 IP 段：实际生效的命令组合

Linux 主机上，iptables 是最直接可控的方式。注意必须在 MongoDB 启动后、且端口已监听的前提下操作：

先确认 MongoDB 监听的是 0.0.0.0:27017 或 :::27017（即允许所有地址接入），否则 iptables 规则没机会匹配

拒绝非授权网段（例如只放行 10.0.5.0/24）：

sudo iptables -A INPUT -p tcp --dport 27017 ! -s 10.0.5.0/24 -j DROP

确保已有 ESTABLISHED 连接不受影响：

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

保存规则（Ubuntu/Debian）：
```
sudo iptables-save | sudo tee /etc/iptables/rules.v4
```
；CentOS 7+ 用 iptables-services 包配合 service iptables save

别漏掉 IPv6：如果服务启用了 IPv6 监听，还得加一条 ip6tables 规则，否则攻击者可能绕过。

云服务器必须配安全组，iptables 只是补充

阿里云、腾讯云、AWS 等平台的“安全组”运行在网络层，**优先级高于系统 iptables**。如果你只在服务器上配了 iptables 却没改安全组，默认会把所有外网 27017 流量在入口就丢弃——此时 iptables 根本收不到包，规则形同虚设。

使用Go语言搭建家庭相册系统-相关课件

下载

安全组要明确放行源 IP 段（如 172.16.0.0/12），协议选 TCP，端口填 27017
iptables 在云环境里更适合做二次过滤：比如同一网段内再细分，或封掉某个具体扫描 IP（iptables -I INPUT -s 203.0.113.42 -j DROP）
某些云厂商（如 AWS）的安全组不支持 CIDR 范围排除语法，想“只禁某个子网”必须靠 iptables 实现

authenticationRestrictions 是唯一真正的客户端 IP 白名单

MongoDB 3.6+ 支持在创建用户时绑定客户端来源，这才是服务端原生的 IP 限制逻辑：

db.runCommand({
  createUser: "appuser",
  pwd: "secret",
  roles: ["readWrite"],
  authenticationRestrictions: [{
    clientSource: ["192.168.10.0/24", "10.20.30.40"]
  }]
})

关键点：