Skip to content

MongoDB - Erste Erfahrungen

Linux
  • Ich nutze jetzt schon sehr lange Redis, vor allen Dingen wegen meinen Foren. NodeBB unterstützt Redis und MongoDB. Ich hatte damals bei der Installation Redis ausgewählt und bin damit bis heute auch sehr zufrieden. Benutze Redis auch als Cache für meine Nextcloud Installation. Auch Redis Replication wird gerne benutzt usw. Also ein zufriedener Redis Nutzer 🙂

    Redis ändert das Lizenz Modell

    Jetzt hat sich da ja was verändert, der einen dazu bringt mal Dinge zu überdenken oder auch einfach mal Neues auszuprobieren. Da ich für meine kleinen Python Projekte auch Redis einsetze, habe ich mir mal gedacht, testen wir doch mal MongoDB. Ja, mir ist das Lizenzmodell bekannt!

    Da man das auch gut mit NodeBB einsetzen kann, ist es ja auch mal an der Zeit sich das anzuschauen 😉

    Eines meiner kleinen Python Projekte ist Portfolio, ein Tool um Aktien und seine Kurse zu verwalten. Also nichts besonderes. Ich speichere damit meine Aktienbestände und kann die aktuellen Kurswerte von einer Webseite abholen. Das alles speichere ich dann in der Redis DB.

    Zuerst wollte ich das modular aufbauen, also mit Redis & MongoDB. Das war aber mit meinen Kenntnissen eine Nummer zu groß, so dass ich schnell entschied das nicht so zu machen. Ich habe das Projekt dann kopiert und Redis komplett entfernt und alles auf MongoDB umgebaut.

    Da ich ja erst vor kurzem den Redis Server von einem Docker Dienst zu einer VM migriert hatte (Artikel), bot es sich an, den MongoDB Dienst auch dort laufen zu lassen.

    Ok, nun mal an was Praktisches.

    Installation

    apt install mongodb-org
    

    Danach kurz die ufw konfiguriert

     ufw allow mongod
     ufw allow 27017
    

    Mein erster Startversuch war kläglich gescheitert, weil irgendein CPU Protokoll nicht vorhanden war. Der Dienst läuft auf einem Proxmox. Erst nachdem ich den Type auf host eingestellt hatte lief es.

    a418cb7b-9589-482d-8d5f-0eac176eaca8-image.png

    Konfiguration

    MongoDB nutzt einen SystemD Dienst

    root@redis-stack:~# systemctl status mongod
    ● mongod.service - MongoDB Database Server
         Loaded: loaded (/lib/systemd/system/mongod.service; enabled; vendor preset: enabled)
         Active: active (running) since Mon 2024-04-01 08:56:43 CEST; 1h 54min ago
           Docs: https://docs.mongodb.org/manual
       Main PID: 20919 (mongod)
         Memory: 224.4M
            CPU: 26.040s
         CGroup: /system.slice/mongod.service
                 └─20919 /usr/bin/mongod --config /etc/mongod.conf
    

    Hier sieht man, welche Konfigurations Datei geladen wird.

    /etc/mongod.conf

    # mongod.conf
    
    # for documentation of all options, see:
    #   http://docs.mongodb.org/manual/reference/configuration-options/
    
    # Where and how to store data.
    storage:
      dbPath: /var/lib/mongodb
    #  engine:
    #  wiredTiger:
    
    # where to write logging data.
    systemLog:
      destination: file
      logAppend: true
      path: /var/log/mongodb/mongod.log
    
    # network interfaces
    net:
      port: 27017
      bindIp: 192.168.3.9
    
    
    # how the process runs
    processManagement:
      timeZoneInfo: /usr/share/zoneinfo
    
    #security:
      security.authorization: enabled
    
    #operationProfiling:
    
    #replication:
    
    #sharding:
    
    ## Enterprise-Only Options:
    
    #auditLog:
    

    Die IP ist von der VM auf meinem Proxmox. Ich hatte erst ohne User & Passwort alles in Python auf die MongoDB umgestellt, dazu kommt ein separater Beitrag. Heute Morgen dann beim Kaffee, das Thema Security 🙂 Ihr wisst ja, Foren sind heute nicht mehr so in, ChatGPT hilft einem doch dabei, oder?

    Ich sollte das hier machen

    • Login DB
    • DB auswählen
    • User anlegen

    Login DB

    Da ich ja die MongoDB nur auf die IP 192.168.3.9 lauschen lasse, kann ich mich auf dem Rechner lokal nicht anmelden. Also muss man das so machen.

    mongosh --host 192.168.3.9
    

    Danach sieht man ein CLI

    root@redis-stack:~# mongosh  --host 192.168.3.9
    Current Mongosh Log ID: 660a5d31a731e65bddc00e7d
    Connecting to:          mongodb://<credentials>@192.168.3.9:27017/?directConnection=true&appName=mongosh+2.2.1
    Using MongoDB:          7.0.7
    Using Mongosh:          2.2.1
    mongosh 2.2.2 is available for download: https://www.mongodb.com/try/download/shell
    
    For mongosh info see: https://docs.mongodb.com/mongodb-shell/
    
    test> 
    

    Hier kann man jetzt die administrativen Befehle absetzen.

    DB auswählen

    Einfach 🙂

    use admin
    

    Innerhalb der MongoDB gibt es mehrere vorkonfigurierten Datenbanken. Eine davon heißt admin

    8377bde4-699c-421b-9992-9c2785934e5d-image.png

    Der Screenshot ist von dem Programm MongoDB Compass, ein UI um die Datenbank zu verwalten usw.

    admin, config und local sind voreingestellte Datenbanken, die bei der Installation automatisch angelegt werden.

    User anlegen

    Nun gab mir ChatGPT folgendes um den User anzulegen.

    db.createUser({
      user: "<name>",
      pwd: "<password>",
      roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
    })
    

    Danach in der Konfiguration das hier ergänzt

    #security:
      security.authorization: enabled
    

    Dann den Dienst neu starten

    systemctl restart mongod
    

    Irgendwie klappte da aber gar nichts, erstes Problem sind Sonderzeichen im Passwort. DIe kann man auf Python Seite encoden und zwar so.

    from urllib.parse import quote_plus
    encoded_password = quote_plus(MONGO_PASSWORD)
    

    Danach hatte ich irgendwann Zugang zur MongoDB, aber meine Datenbank war leer. Hilfe, alle meine Daten weg. Das wäre eine kleine Katastrophe. Ruhe bewahren 😉

    Nachdenken. Ok loggen wir uns mit dem User & Passwort mal ein.

    root@redis-stack:~# mongosh -u <user> -p <password> --host 192.168.3.9
    

    Es kam folgendes

    Current Mongosh Log ID: 660a5dab42ca150895c00e7d
    Connecting to:          mongodb://<credentials>@192.168.3.9:27017/?directConnection=true&authSource=admin&appName=mongosh+2.2.1
    Using MongoDB:          7.0.7
    Using Mongosh:          2.2.1
    mongosh 2.2.2 is available for download: https://www.mongodb.com/try/download/shell
    
    For mongosh info see: https://docs.mongodb.com/mongodb-shell/
    
    test> use meineDatenbank
    switched to db meineDatenbank
    meineDatenbank> show collections
    MongoServerError[Unauthorized]: not authorized on meineDatenbank to execute command { listCollections: 1, filter: {}, cursor: {}, nameOnly: true, authorizedCollections: false, lsid: { id: UUID("e5a6716a-207c-4478-80de-xxxxxxxxxxxx") }, $db: "meineDatenbank" }
    

    Ich hatte also die DB ausgewählt

    use meineDatenbank #dämlicher Name
    

    und dann wollte ich mir Collections anzeigen lassen, weil vorher in meinem Python Projekt alles leer war.

    show collections

    Und dann kam der Fehler MongoServerError[Unauthorized] Ok, da stimmte was nicht mit den Zugriffsrechten nicht. ChatGPT meinte dann ganz trocken, ja wenn Du das möchtest musst Du auch die Rolle angeben. Jo, Fu.....

    Also die Rechte angepasst.

    admin> db.updateUser("frank", {
    ...   roles: [
    ...     { role: "userAdminAnyDatabase", db: "admin" },
    ...     { role: "readWrite", db: "meineDatenbank" }
    ...   ]
    ... })
    { ok: 1 }
    

    Jetzt konnte ich auch die Datenbank lesen & schreiben 🤓

    Und hier noch der Befehl um ein Passwort zu ändern.

    db.updateUser("<USER>", {
      pwd: "<PASSWORD>"
    })
    

    Backup & Restore (ki-generiert)

    Aktuell noch ungetestet, da ich aber finde das gehört hier irgendwie mit dazu habe ich das hier schon mal abgelegt.

    To backup all databases

    mongodump --uri="mongodb://username:password@localhost:27017" --out=/path/to/backup
    

    To backup a specific database

    mongodump --uri="mongodb://username:password@localhost:27017/databaseName" --out=/path/to/backup
    

    To restore all databases from a backup directory:

    mongorestore --uri="mongodb://username:password@localhost:27017" /path/to/backup
    

    To restore a specific database:

    mongorestore --uri="mongodb://username:password@localhost:27017" --nsInclude=databaseName.* /path/to/backup/databaseName
    

    Und wieder was gelernt...

  • So frisch von der MongoDB Front und wieder viel gelernt, weil beim Üben macht man Fehler 🙂

    Oben war ja mongodump & mongorestore von der KI empfohlen. Hier das wie ich es gemacht habe.

    mongodump

    frank@redis-stack:~$ mongodump -u frank -p '<password>' --host 192.168.3.9 --authenticationDatabase admin -d portfolio -o mongodump/
    2024-04-06T09:29:25.174+0200    writing portfolio.stockList to mongodump/portfolio/stockList.bson
    2024-04-06T09:29:25.175+0200    writing portfolio.users to mongodump/portfolio/users.bson
    2024-04-06T09:29:25.175+0200    done dumping portfolio.stockList (8 documents)
    2024-04-06T09:29:25.176+0200    writing portfolio.total_sum to mongodump/portfolio/total_sum.bson
    2024-04-06T09:29:25.177+0200    done dumping portfolio.total_sum (1 document)
    2024-04-06T09:29:25.177+0200    writing portfolio.old_total_sum to mongodump/portfolio/old_total_sum.bson
    2024-04-06T09:29:25.177+0200    writing portfolio.stocks to mongodump/portfolio/stocks.bson
    2024-04-06T09:29:25.177+0200    done dumping portfolio.users (4 documents)
    2024-04-06T09:29:25.178+0200    writing portfolio.settings to mongodump/portfolio/settings.bson
    2024-04-06T09:29:25.178+0200    done dumping portfolio.settings (1 document)
    2024-04-06T09:29:25.179+0200    done dumping portfolio.old_total_sum (1 document)
    2024-04-06T09:29:25.179+0200    done dumping portfolio.stocks (34 documents)
    

    mongorestore

    mongorestore -u frank -p '<password>' --host 192.168.3.9 --authenticationDatabase admin -d portfolio mongodump/meineDatenbank/
    

    Hier wird die Datensicherung mongodump/meineDatenbank/ in die neue Datenbank portfolio transferiert.

    Grund für das Ganze? Mich hatte der Datenbank Name meineDatenbank gestört.

    Benutzerrechte

    Jetzt der Teil wo man schnell was falsch machen kann 🙂 Ich hatte also die neue Datenbank, konnte sie aber nicht lesen. Fehlten halt die Rechte. Ich hatte dann so was hier gemacht.

    db.updateUser("frank", { roles: [ { role: "readWrite", db: "meineDatenbank" }, { role: "readWrite", db: "portfolio" }]})
    

    Ging auch prima, kam ein ok zurück. Nun das Problem, ich hatte beim Einrichten, den User frank als admin benutzt. Durch den oben abgesetzten Befehl (frank ist ja admin), wurden die neuen Rechte gesetzt und die Rechte als Admin entzogen!! Das war jetzt nicht wirklich das was ich gebrauchen konnte. LOL

    Ich hatte jetzt keine Kontrolle mehr über die DB. Das war aber nicht so wirklich kompliziert, das wieder zu ändern. Die Authentication temporär abstellen. Also /etc/mongod.conf editieren und

    #security:
    security.authorization: enabled
    

    eben mal auskommentieren. Den Daemon neustarten und anmelden an der DB.

    mongosh --host 192.168.3.9
    

    Danach neuen User anlegen

    db.createUser({
      user: "<name>",
      pwd: "<password>",
      roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
    })
    

    mongod.conf wieder ändern und neustarten. Danach hat man wieder eine DB mit Authentifizierung und einen neuen Admin. Ich bin diesmal, man lernt ja, anders vorgegangen. Es gibt nun einen Admin für die DB und einen User zum Benutzen der Datenbanken! So wie man es auch auf einem produktiven System auch machen würde. Wenn ich jetzt mal was an den Benutzerrechten des Users ändere, kann mir das mit dem Admin nicht mehr passieren. Hoffe ich 🙂

  • FrankMF FrankM hat am auf dieses Thema verwiesen

  • Crowdsec - Ein fail2ban Ersatz?

    Linux
    2
    0 Stimmen
    2 Beiträge
    733 Aufrufe
    FrankMF

    Ich kann jetzt hier von meiner ersten Erfahrung berichten und wie CrowdSec mich gebannt hat 🙂

    Was war passiert? Ich war gestern sehr intensiv mit der Konfiguration von Nextcloud <-> Collabora Online beschäftigt. Nachdem ich irgendwie nicht weiterkam habe ich mich der Erstellung eines Dokumentes gewidmet. Nach einiger Zeit war die Nextcloud nicht mehr erreichbar.

    Ok, hatte ich bei der Konfiguration auch schon mal, den Server einmal neugestartet und fertig. Doch jetzt kam es, Server neugestartet - hilft nicht. Gut, schauen wir mal nach, Der SSH Login ging auch nicht 😞

    Jetzt war guter Rat gefragt. Zu diesem Zeitpunkt ging ich noch davon aus, das auf diesem Server kein CrowdSec installiert war, sondern fail2ban. Und fail2ban hatte eine sehr kurze Bantime vom 10M.

    Also blieb wohl nur noch das Rescue System von Hetzner.

    488866bc-3dcf-4abc-9e98-6107d65aa4c7-grafik.png

    Da hatte ich ja so gut wie gar keine Erfahrung mit. Also mal kurz den Nico angetriggert und es kam folgender Link.

    Link Preview Image Hetzner Rescue-System - Hetzner Docs

    favicon

    (docs.hetzner.com)

    Das Laufwerk war schnell bestimmt und schnell nach /tmp gemountet. Danach musste man sich noch mit chroot in diese Umgebung anmelden.

    chroot-prepare /mnt chroot /mnt

    Nachdem das klappte, habe ich eben fail2ban disabled.

    sysmctl disable fail2ban

    Danach das Rescue beendet. Der Server startete wieder und ich kam wieder per SSH drauf. Puuh.
    Bei meiner ersten Kontrolle fiel mir was auf

    root@:~# pstree systemd─┬─2*[agetty] ├─atd ├─cron ├─crowdsec─┬─journalctl │ └─8*[{crowdsec}] ├─crowdsec-firewa───9*[{crowdsec-firewa}]

    Wie? Da läuft CrowdSec? Da ich dabei bin die Server auf CrowdSec umzustellen, war das wohl hier schon gemacht, aber leider nicht vernünftig. fail2ban hätte mindestens disabled werden müssen und in meiner Dokumentation war das auch nicht enthalten. 6 setzen!

    CrowdSec besteht ja aus zwei Diensten, CrowdSec und dem Firewall-Bouncer. Der CrowdSec Dienst lief aber nicht, der war irgendwie failed. Ok, starten wir ihn und schauen was passiert. Nachdem er gestarte war mal die Banliste angeschaut.

    cscli decisions list

    ergab diesen Eintrag.

    2551501 │ crowdsec │ Ip:5.146.xxx.xxx │ crowdsecurity/http-crawl-non_statics │ ban │ │ │ 53 │ 1h5m55.391864693s │ 1671

    Meine IP war gebannt. Dann wissen wir ja , woher die Probleme kamen.

    cscli decisions delete --id 2551501

    Nach Eingabe war der Ban entfernt. Na gut, aber da ich aktuell immer noch an der richtigen Konfiguration von NC <-> CODE bastel, könnte das ja wieder passieren. Was machen? Kurz gegoogelt. Es gibt eine Whitelist. Aha!

    /etc/crowdsec/parsers/s02-enrich/whitelists.yaml

    name: crowdsecurity/whitelists description: "Whitelist events from private ipv4 addresses" whitelist: reason: "private ipv4/ipv6 ip/ranges" ip: - "127.0.0.1" - "::1" - "5.146.XXX.XXX" cidr: - "192.168.0.0/16" - "10.0.0.0/8" - "172.16.0.0/12" # expression: # - "'foo.com' in evt.Meta.source_ip.reverse"

    Danach den Dienst neustarten. Jetzt hoffen wir mal, das es hilft.

    Zum Schluss noch was, was mir aufgefallen war und was mich auch sehr verwirrt hatte. CrowdSec hatte wegen einem crowdsecurity/http-crawl-non_statics gebannt. Dadurch konnte ich meine
    subdomain.<DOMAIN> nicht erreichen. Ok, logisch, wenn der Ban von da ausgeht. Ich konnte aber gleichzeitig eine andere subdomain mit derselben <DOMAIN> auch nicht erreichen. Komplett verwirrte es mich dann, als ich eine andere <DOMAIN> auf dem selben Server erreichen konnte. Und zum Schluss ging auch der SSH nicht.

    Also, wieder viel gelernt.. 🤓

  • Passkeys

    Linux
    2
    0 Stimmen
    2 Beiträge
    190 Aufrufe
    FrankMF

    Passend dazu aus dem Bitwarden Blog

    Link Preview Image Bitwarden to launch passkey management | Bitwarden Blog

    Welcome, passkeys – FIDO credentials stored directly on your phone or computer.

    favicon

    Bitwarden (bitwarden.com)

  • NodeBB - 2.8.13 & 3.1.3 Security Release

    NodeBB
    1
    0 Stimmen
    1 Beiträge
    59 Aufrufe
    Niemand hat geantwortet
  • Star64 lieferbar

    Star64
    1
    0 Stimmen
    1 Beiträge
    68 Aufrufe
    Niemand hat geantwortet
  • checkmk - Apache2 vs. NGINX

    checkmk
    2
    0 Stimmen
    2 Beiträge
    551 Aufrufe
    FrankMF

    Ich musste am Ende wieder den Apachen installieren, da checkmk zu viele Abhängigkeiten hat. So was wie omd-apache2(?), wurde mir dann als Fehler angezeigt. Die Server waren auf einmal offline usw. Schade, aber letztendlich für den Container auch egal.

    Oben im Apachen die SSL Sicherheit erhöht.

    4ba2853c-d5a3-422d-b787-b9f66256b511-grafik.png

  • Mainline 5.13.x

    Images
    1
    0 Stimmen
    1 Beiträge
    191 Aufrufe
    Niemand hat geantwortet
  • Restic - Backblaze B2 Cloud Storage

    Restic
    1
    0 Stimmen
    1 Beiträge
    380 Aufrufe
    Niemand hat geantwortet
  • Raid1 - Platte verschwunden!?

    Verschoben Linux
    1
    1 Stimmen
    1 Beiträge
    409 Aufrufe
    Niemand hat geantwortet