无需凭据仍可访问 MongoDB 服务器

我的机器中有一个新的 mongodb 服务器（2.6.0），我使用以下配置文件启动了 mongod 实例：

dbpath = c:\mongo\data\db
port = 27017
logpath = c:\mongo\data\logs\mongo.log
auth = true

后来，我通过 mongo shell 连接到这个 mongod 实例并创建了一个管理员用户：

use admin
db.createUser(
  {
    user: "tugberk",
    pwd: "12345678",
    roles:
    [
      {
        role: "userAdminAnyDatabase",
        db: "admin"
      }
    ]
  }
)

然后，我从 shell 注销并使用以下命令重新连接：

mongo --host localhost --port 27017 -u tugberk -p 12345678 --authenticationDatabase admin

然后，我创建了一个具有 root 访问权限的用户：

use admin
db.createUser(
    {
      user: "tugberkRoot",
      pwd: "12345678",
      roles: [ "root" ]
    }
)

这里不需要最后一步，但现在应该完全禁用匿名访问。但是，我仍然可以通过 mongo shell 匿名连接到它（即使我无权执行任何操作）：

我应该怎么做才能防止任何匿名连接？

身份验证会阻止您对数据库执行操作（如屏幕截图所示 - 您甚至无法列出数据库），它不会阻止连接 - 毕竟，您必须能够连接才能进行身份验证。

有一个添加超时功能请求 https://jira.mongodb.org/browse/SERVER-12418，但目前这本质上就是服务器的行为方式。

值得注意的是，在您尝试执行某些操作之前，这实际上与仅使用以下命令连接到端口没有什么不同telnet- 开头显示的文本“连接到：”等来自客户端，而不是服务器。一旦它尝试执行任何未经身份验证的操作，甚至列出服务器警告，就会抛出错误，因为它没有足够的权限。

如果您想从连接角度锁定事物，从 MongoDB 角度来看，唯一的选择是使用以下命令限制其侦听的 IP 地址（默认为全部）：bindIp http://docs.mongodb.org/manual/reference/configuration-options/#net.bindIp选项。使用127.0.0.1例如，会将其锁定为本地使用（但随后您将无法从远程主机进行连接），这使得复制成为一个问题，因此在选择绑定地址时要小心。

在 MongoDB 之外，您应该从防火墙的角度考虑锁定事物。在 Linux 上这将是IPTables https://en.wikipedia.org/wiki/Iptables, ufw https://help.ubuntu.com/community/UFW, 主机.允许/拒绝 http://docs.slackware.com/howtos:security:inetd或类似的。 Windows 防火墙不是我的专业领域，但我想你也可以在那里做类似的事情。