MongoDB在Debian上的最佳实践

MongoDB在Debian上的最佳实践

一 安装与版本选择

• 选择受支持的 Debian 版本 与 MongoDB 版本，并优先使用 官方 APT 仓库 安装，便于获取安全更新与版本一致性。
• 导入 MongoDB 官方 GPG 公钥，创建对应版本的 APT 源文件，执行安装并启动服务。
• 示例（以 Debian 11 Bullseye 安装 MongoDB 6.0 为例）：
  • 导入密钥与创建源：
    • wget -qO - https://www.mongodb.org/static/pgp/server-6.0.asc | sudo apt-key add -
    • echo “deb [ arch=amd64,arm64 ] https://repo.mongodb.org/apt/debian bullseye/mongodb-org/6.0 multiverse” | sudo tee /etc/apt/sources.list.d/mongodb-org-6.0.list
  • 安装与启动：
    • sudo apt update && sudo apt install -y mongodb-org
    • sudo systemctl start mongod && sudo systemctl enable mongod
• 安装后建议校验服务状态与连通性：
  • sudo systemctl status mongod
  • mongo --eval ‘db.runCommand({ connectionStatus: 1 })’

二 安全加固

• 启用 身份验证（RBAC）：在 /etc/mongod.conf 中设置
  • security:
    • authorization: enabled
  • 重启使配置生效：sudo systemctl restart mongod
• 创建 管理员用户（示例赋予广泛管理能力，生产环境可按需收敛）：
  • use admin
  • db.createUser({ user: “admin”, pwd: “StrongPasswordHere”, roles: [“root”] })
• 限制 网络暴露：默认仅本地监听，如需远程访问仅开放必要来源 IP，避免将 bindIp 设为 0.0.0.0 到公网。
• 配置 防火墙（如使用 UFW）：仅允许受控网段访问 27017/tcp
  • sudo ufw allow from 192.168.1.0/24 to any port 27017
  • sudo ufw enable
• 启用 TLS/SSL 加密传输（示例）：
  • net:
    • ssl:
      • mode: requireSSL
      • PEMKeyFile: /path/to/mongodb.pem
      • CAFile: /path/to/ca.pem
• 保持系统与数据库 及时更新：定期执行 sudo apt update && sudo apt upgrade -y

三 存储与文件系统

• 使用 WiredTiger 存储引擎，合理设置 cacheSizeGB 以容纳工作集（索引与热点数据），避免设置过大挤占操作系统页面缓存。
  • storage:
    • wiredTiger:
      • engineConfig:
        • cacheSizeGB: <根据内存与工作集调优>
• 优先选用 SSD/NVMe 以降低 I/O 延迟，特别是写密集与高并发场景。
• 目录与权限：默认 dbPath: /var/lib/mongodb，log path: /var/log/mongodb/mongod.log，确保运行用户（通常为 mongodb）对相关目录具备读写权限。
• 在 NUMA 架构主机上，使用 numactl --interleave=all 启动 mongod，缓解跨 NUMA 访问带来的性能波动。

四 网络与连接

• 监听与端口：默认 port: 27017；仅在内网或受控网络开放访问，避免公网直连数据库端口。
• 连接与压缩：在带宽受限环境启用 Snappy 压缩（连接字符串参数：compressors=snappy），降低网络流量。
• 连接数调优：根据客户端并发与实例规格调整 net.maxIncomingConnections，避免过大导致资源争用或过小限制吞吐。
• 架构建议：尽量 单机单角色，通过虚拟化或容器进行资源隔离；分片集群中 mongos 数量与分片规模相匹配。

五 监控 备份与维护

• 日志与审计：启用文件日志（systemLog.destination: file），并配置 logAppend: true，便于问题排查与审计追踪。
• 性能监控：使用 mongostat、mongotop 观察实例吞吐、锁、I/O 与热点集合；必要时引入 PMM 等第三方监控平台做长期指标与查询分析。
• 备份策略：定期执行 mongodump 全量或增量备份，并演练恢复流程；关键业务建议结合 文件系统快照 或 云厂商备份 形成多副本保护。
• 变更与压测：任何参数变更先在 测试环境 验证，结合业务查询与写入特征进行 基准测试 与容量规划，避免线上直接调大参数引发副作用。