Instalación de MongoDB

Configuración

Después de la instalación, MongoDB funciona por defecto sin autenticación y acepta conexiones solo desde localhost (127.0.0.1). Para un entorno de producción, esto es inaceptable. Configuraremos la autenticación, restringiremos el acceso a la red y, opcionalmente, habilitaremos TLS/SSL para cifrar las conexiones.

1. Configuración del archivo de configuración de MongoDB (mongod.conf)

El archivo de configuración principal de MongoDB se encuentra en /etc/mongod.conf. Ábralo para editar:

sudo nano /etc/mongod.conf
    

Habilitar la autenticación

Este es el paso más importante para la seguridad. Busque la sección security y añada o descomente la línea authorization: enabled:

# /etc/mongod.conf
...
security:
  authorization: enabled
...
    

Configuración del acceso a la red (bindIp)

Por defecto, bindIp está configurado en 127.0.0.1, lo que significa que MongoDB solo acepta conexiones desde la máquina local. Si su aplicación está en el mismo VPS, esto es seguro. Sin embargo, si la aplicación está en otro servidor o desea acceder a MongoDB de forma remota, deberá cambiar bindIp. ¡NUNCA configure bindIp: 0.0.0.0 sin una configuración adecuada del firewall y la autenticación!

Si planea acceder desde una dirección IP específica, indíquela:

# /etc/mongod.conf
...
net:
  port: 27017
  bindIp: 127.0.0.1,SU_IP_DE_APLICACION # Añada la IP de su aplicación u otro servidor
...
    

Si está seguro de que su firewall UFW está configurado de forma muy estricta, puede especificar temporalmente 0.0.0.0, pero esto debe hacerse solo después de configurar UFW, como se describe a continuación.

Guardar y reiniciar MongoDB

Guarde los cambios (Ctrl+O, Enter) y salga (Ctrl+X). Luego, reinicie el servicio MongoDB:

sudo systemctl restart mongod
    

Ahora MongoDB requiere autenticación para todas las conexiones.

2. Creación de un usuario administrativo

Después de habilitar la autenticación, no podrá conectarse a MongoDB sin credenciales. Por lo tanto, es necesario crear un usuario administrativo. Para ello, conéctese a mongosh, pero ya con autenticación. Dado que la autenticación acaba de ser habilitada, puede conectarse como localhost sin credenciales una vez para crear el primer usuario.

mongosh --port 27017 --authenticationDatabase admin # Nos conectamos a la base de datos admin
    

Dentro de mongosh, ejecute los siguientes comandos:

use admin
db.createUser(
   {
     user: "mongoAdmin",
     pwd: passwordPrompt(), // Ingrese la contraseña cuando se le solicite
     roles: [ { role: "userAdminAnyDatabase", db: "admin" }, "readWriteAnyDatabase" ]
   }
)
exit
    

Ahora puede conectarse a MongoDB utilizando el usuario creado:

mongosh --port 27017 --authenticationDatabase admin -u mongoAdmin -p # Se le pedirá que ingrese la contraseña
    

Después de iniciar sesión correctamente, verá el prompt admin> o >.

3. Creación de un usuario para la aplicación

Para cada aplicación que utiliza MongoDB, se recomienda crear un usuario separado con los permisos mínimos necesarios.

use your_app_db # Cambiar a la base de datos de su aplicación (la creará si no existe)
db.createUser(
   {
     user: "appUser",
     pwd: passwordPrompt(), // Ingrese la contraseña cuando se le solicite
     roles: [ { role: "readWrite", db: "your_app_db" } ] // Otorgar permisos solo de lectura/escritura en la BD específica
   }
)
exit
    

Esto garantiza que, incluso si las credenciales de la aplicación se ven comprometidas, el atacante no obtendrá acceso completo a todas las bases de datos.

4. Configuración del firewall (UFW) para MongoDB

Ahora que MongoDB está protegido con autenticación, se puede abrir el puerto 27017, pero solo para las direcciones IP permitidas.

sudo ufw allow from SU_IP_DE_APLICACION to any port 27017 # Permitir acceso solo desde la dirección IP de su aplicación
sudo ufw status # Verificar el estado de UFW
    

Si desea permitir el acceso desde varias direcciones IP, repita el comando ufw allow para cada una de ellas. Si su aplicación está en el mismo servidor, no necesita abrir el puerto 27017 al exterior; bindIp: 127.0.0.1 es suficiente.

5. Configuración de TLS/SSL para cifrado de conexiones (opcional, pero recomendado)

Para garantizar la confidencialidad e integridad de los datos durante la transmisión entre el cliente y el servidor MongoDB, se recomienda utilizar TLS/SSL. Esto es especialmente importante si MongoDB es accesible desde fuera de la red local.

Para configurar TLS, necesitará certificados. Puede usar certificados autofirmados para pruebas o certificados corporativos internos. Para servidores públicos, se recomienda usar certificados de una autoridad de certificación (CA) de confianza, como Let's Encrypt.

Creación de un certificado autofirmado (para ejemplo)

Para generar un certificado y una clave autofirmados en un solo archivo .pem:

sudo mkdir -p /etc/ssl/mongodb
sudo openssl req -newkey rsa:2048 -new -nodes -x509 -days 365 -keyout /etc/ssl/mongodb/mongodb.key -out /etc/ssl/mongodb/mongodb.crt
sudo cat /etc/ssl/mongodb/mongodb.key /etc/ssl/mongodb/mongodb.crt | sudo tee /etc/ssl/mongodb/mongodb.pem
sudo chown -R mongodb:mongodb /etc/ssl/mongodb/
sudo chmod -R 600 /etc/ssl/mongodb/*
    

Cuando se le solicite información (Common Name, Organization, etc.), ingrese los datos correspondientes.

Configuración de MongoDB para usar TLS

Edite /etc/mongod.conf de nuevo:

sudo nano /etc/mongod.conf
    

Añada o modifique la sección net.ssl:

# /etc/mongod.conf
...
net:
  port: 27017
  bindIp: 127.0.0.1,SU_IP_DE_APLICACION
  ssl:
    mode: requireTLS # Todas las conexiones deben usar TLS
    PEMKeyFile: /etc/ssl/mongodb/mongodb.pem
    CAFile: /etc/ssl/mongodb/mongodb.pem # Si usa autofirmado, CAFile puede ser el mismo
    allowConnectionsWithoutCertificates: false # Requerir certificados de cliente (se puede establecer en true si no son necesarios)
...
    

Guarde los cambios y reinicie MongoDB:

sudo systemctl restart mongod
    

Ahora, para conectarse a MongoDB, deberá especificar los parámetros TLS en el cliente mongosh o en el controlador de su aplicación:

mongosh --host SU_IP_DEL_VPS --port 27017 --authenticationDatabase admin -u mongoAdmin -p --tls --tlsCAFile /etc/ssl/mongodb/mongodb.pem --tlsAllowInvalidHostnames # --tlsAllowInvalidHostnames solo para autofirmados
    

Para certificados de producción de Let's Encrypt u otras CA, deberá especificar la ruta a su certificado y, si es necesario, a la cadena de CA.

6. Verificación del funcionamiento

Asegúrese de que MongoDB esté funcionando, aceptando conexiones y que la autenticación esté habilitada:

• Verificación del estado del servicio:

  
  sudo systemctl status mongod
              

  Debería ser active (running).

• Verificación de puertos abiertos:

  
  sudo netstat -tuln | grep 27017
              

  La salida debería mostrar que el puerto 27017 está escuchando en las direcciones IP que especificó (por ejemplo, 127.0.0.1:27017 o 0.0.0.0:27017, si está configurado).

• Prueba de conexión con autenticación:

  
  mongosh --host SU_IP_DEL_VPS --port 27017 --authenticationDatabase admin -u mongoAdmin -p --tls --tlsCAFile /etc/ssl/mongodb/mongodb.pem # Con TLS
              

  Sin TLS, si no lo configuró:

  
  mongosh --host SU_IP_DEL_VPS --port 27017 --authenticationDatabase admin -u mongoAdmin -p
              

  El inicio de sesión exitoso confirma el funcionamiento correcto.

Solución de problemas + Preguntas frecuentes

Incluso con una configuración cuidadosa, pueden surgir problemas. Esta sección le ayudará a diagnosticar y resolver los más comunes.

MongoDB no se inicia o no está disponible

Problema: Después de reiniciar el servidor o cambiar la configuración, MongoDB no se inicia o no puede conectarse a él.

Qué verificar:

1. Estado del servicio: sudo systemctl status mongod. Busque errores en la salida, por ejemplo, failed o exited.
2. Registros de MongoDB: sudo tail -f /var/log/mongodb/mongod.log. Aquí encontrará mensajes de error detallados durante el inicio o la operación.
3. Archivo de configuración: sudo nano /etc/mongod.conf. Verifique la sintaxis YAML, especialmente las indentaciones. Un bindIp incorrecto o errores en la sección security/net.ssl son causas frecuentes.
4. Acceso a archivos: Asegúrese de que el usuario mongodb tenga permisos de lectura/escritura en /var/lib/mongodb y /var/log/mongodb, así como permisos de lectura para /etc/mongod.conf y los certificados TLS.
5. Puerto ocupado: sudo netstat -tuln | grep 27017. Asegúrese de que ningún otro proceso esté ocupando el puerto 27017.

Cómo solucionarlo: Corrija los errores en mongod.conf, verifique los permisos de acceso (sudo chown -R mongodb:mongodb /var/lib/mongodb /var/log/mongodb), luego intente reiniciar el servicio: sudo systemctl restart mongod.

Error "Authentication failed"

Problema: Intenta conectarse a MongoDB, pero recibe el error "Authentication failed".

Qué verificar:

1. Nombre de usuario y contraseña: Asegúrese de que está utilizando las credenciales correctas.
2. Base de datos de autenticación: Asegúrese de especificar la base de datos correcta para la autenticación (por ejemplo, --authenticationDatabase admin para un usuario administrativo).
3. ¿Está habilitada la autenticación?: Verifique que security.authorization: enabled esté presente en /etc/mongod.conf. Si no, habilítelo, reinicie MongoDB y cree un usuario.

Cómo solucionarlo: Vuelva a verificar las credenciales. Si olvidó la contraseña del administrador, consulte las Preguntas frecuentes a continuación.

¿Qué configuración mínima de VPS es adecuada para MongoDB?

Para tareas básicas como desarrollo, pequeños proyectos personales o entornos de prueba, un VPS con 2 núcleos de CPU, 4 GB de RAM y un disco SSD NVMe de 50 GB será mínimamente suficiente. Sin embargo, para cualquier entorno de producción, incluso con una carga de trabajo ligera, se recomienda encarecidamente tener al menos 4 núcleos de CPU, 8 GB de RAM y 160 GB de SSD NVMe. Esto garantizará un funcionamiento estable y un rendimiento suficiente para el almacenamiento en caché de datos y el procesamiento de consultas.

¿Qué elegir: VPS o dedicado para esta tarea?

La elección entre un VPS y un servidor dedicado depende de la escala de su proyecto, los requisitos de rendimiento, seguridad y presupuesto. Un VPS es excelente para la mayoría de los proyectos medianos donde se requiere flexibilidad, escalabilidad y rentabilidad. Es ideal para startups, pequeñas aplicaciones SaaS, servidores de juegos para un grupo reducido de usuarios o nodos de criptomonedas que no requieren un rendimiento extremo. Un servidor dedicado es necesario para sistemas de alta carga, grandes volúmenes de datos (terabytes), aplicaciones críticas con altos requisitos de IOPS, o si necesita un aislamiento completo y el máximo control sobre el hardware. Si su proyecto crece activamente y alcanza los límites de un VPS, la transición a un dedicado será un paso lógico.

¿Cómo restablecer la contraseña del administrador de MongoDB?

Si olvidó la contraseña del administrador, deberá deshabilitar temporalmente la autenticación. Edite /etc/mongod.conf, comente o elimine la línea security.authorization: enabled. Reinicie MongoDB. Conéctese a mongosh sin autenticación, cambie a la base de datos admin, elimine el usuario administrativo antiguo (o actualice su contraseña) y luego cree uno nuevo. Después de esto, vuelva a agregar security.authorization: enabled a la configuración y reinicie MongoDB.

¿Por qué MongoDB consume tanta RAM?

MongoDB utiliza activamente la memoria RAM para el almacenamiento en caché de datos (a través del motor WiredTiger). Este es un comportamiento normal diseñado para mejorar el rendimiento, ya que la lectura de datos desde la RAM es significativamente más rápida que desde el disco. Si ve que MongoDB consume mucha RAM, a menudo es una buena señal que indica un almacenamiento en caché eficiente. Sin embargo, si el sistema comienza a usar swap, es una señal de falta de RAM y debe considerar aumentar la cantidad de memoria.

¿Es necesario usar replicación para un solo nodo en un VPS?

Para un solo nodo en un VPS, la replicación en el sentido clásico (crear múltiples copias de datos en diferentes servidores) no tiene sentido, ya que no hay otros servidores. Sin embargo, puede configurar un "conjunto de réplicas de un solo nodo" (single-node replica set). Esto es necesario si planea usar ciertas funciones de MongoDB, como transacciones o Change Streams, que requieren un conjunto de réplicas para funcionar. Para una instalación básica sin estos requisitos específicos, un conjunto de réplicas de un solo nodo no es obligatorio, pero tampoco hará daño.

¿Cómo restringir el acceso a MongoDB solo para mi aplicación?

Esto se logra mediante dos pasos clave:

1. Configuración de bindIp en /etc/mongod.conf: Especifique la dirección IP específica de su aplicación (o varias direcciones IP) desde la cual se permiten las conexiones. Si la aplicación está en el mismo servidor, use 127.0.0.1.
2. Configuración del firewall (UFW): Permita las conexiones entrantes al puerto 27017 solo desde la dirección IP de su aplicación: sudo ufw allow from SU_IP_DE_APLICACION to any port 27017. Esto proporcionará protección a nivel de red.

MongoDB no se inicia después de reiniciar el servidor. ¿Qué hacer?

Lo primero es revisar los registros de MongoDB: sudo tail -n 100 /var/log/mongodb/mongod.log. Causas frecuentes:

• Corrupción de la base de datos: A veces, debido a un apagado incorrecto o falta de espacio en disco, los datos pueden corromperse. Intente iniciar MongoDB con la opción --repair (tenga cuidado, puede llevar mucho tiempo).
• Falta de espacio en disco: Verifique df -h. Si el disco está lleno, MongoDB no podrá crear nuevos archivos o entradas de registro.
• Permisos de acceso incorrectos: Asegúrese de que el usuario mongodb tenga permisos completos sobre los directorios /var/lib/mongodb y /var/log/mongodb.
• Errores en mongod.conf: Una sintaxis incorrecta o parámetros erróneos pueden impedir el inicio.

Conclusiones y próximos pasos

¡Felicidades! Ha instalado, configurado y protegido con éxito una instancia de MongoDB 7.0 en su VPS con Ubuntu Server 24.04 LTS. Ahora tiene una base de datos fiable y de alto rendimiento, lista para integrarse con sus aplicaciones. Ha implementado medidas de seguridad básicas pero cruciales, como la autenticación, la restricción del acceso a la red a través del firewall y, opcionalmente, el cifrado del tráfico mediante TLS/SSL. También ha configurado copias de seguridad automáticas, que son la piedra angular de cualquier sistema de producción.

Los siguientes pasos para optimizar y escalar su instalación de MongoDB pueden incluir:

• Monitoreo del rendimiento: Integre MongoDB con sistemas de monitoreo como Prometheus y Grafana para rastrear métricas de rendimiento, uso de recursos y el estado de la base de datos en tiempo real.
• Optimización de consultas e indexación: Analice las consultas lentas y cree índices apropiados para mejorar la velocidad de las operaciones de lectura en su base de datos.
• Replicación y sharding: A medida que su aplicación crezca y la carga aumente, considere configurar la replicación para garantizar alta disponibilidad y tolerancia a fallos, así como el sharding para la escalabilidad horizontal y la distribución de datos entre varios servidores.