ip白名单设置入口在mongodb atlas控制台的network access页面，按项目生效，非集群或数据库级别；需填合法cidr格式ip（如203.0.113.42/32），禁用域名和0.0.0.0/0；连不上常见原因是出口ip误判或未配eip。
在哪找IP白名单设置入口
在 MongoDB Atlas 控制台里，Network Access 是唯一能配 IP 白名单的地方，不是在项目设置、数据库用户或连接字符串里改。进入对应项目 → 左侧菜单点 Network Access → 点右上角 + ADD IP ADDRESS。
容易漏掉的是：这个设置是按「项目（Project）」生效的，不是按集群或数据库。同一个项目下所有集群共享这一组白名单规则。
填什么才算有效IP地址
填 0.0.0.0/0 虽然能连上，但等于完全放开，生产环境绝对不要用。真实场景中常见三种写法：
- 单个 IPv4 地址，比如
203.0.113.42（注意别带端口） - 带 CIDR 的子网，比如家庭宽带动态 IP 常用
203.0.113.42/32（等价于单 IP），公司出口固定时可用203.0.113.0/24 - IPv6 地址必须带完整前缀，例如
2001:db8::1/128；只填2001:db8::1会报错Invalid CIDR notation
Atlas 不接受主机名、域名或通配符（如 *.example.com），也不支持自动识别客户端真实 IP（比如你用 Nginx 反代，它看到的是反代服务器的 IP）。
为什么加了IP还是连不上
最常踩的坑是本地开发环境实际出口 IP 和你以为的不一致：
- 用 Wi-Fi 共享热点、企业内网、云主机 SSH 跳转时，Atlas 看到的是上游网关或跳板机的 IP，不是你本机的
ifconfig或ipconfig结果 - 家用宽带多数是 NAT+动态 IP，早上能连下午可能就失效——建议用
curl ifconfig.me实时查当前出口 IP 再添加 - 某些云服务商（如 AWS EC2）默认走私有网络，出公网需配置 EIP 或 NAT Gateway，此时要加的是 EIP，不是实例的私有 IP
错误信息 Connection refused 或 timeout 多半不是白名单问题，而是没开对应端口（Atlas 默认只开 27017）或防火墙拦截；但 not authorized for query on admin.$cmd 类报错才说明已连上、只是鉴权失败。
要不要开 VPC Peering 或 Private Link
当你的应用跑在 AWS/Azure/GCP 上，且对延迟、安全或合规有要求时，IP 白名单就不够用了：
- VPC Peering 本质是打通网络层，流量不走公网，不用填任何 IP 到
Network Access，但配置复杂、跨区域支持有限 - Azure Private Link / AWS PrivateLink 更彻底，把 Atlas 集群“拉进”你自己的 VPC，连 DNS 解析都走内网，但需要额外开通和审批
- 普通 Web 应用、CI/CD 机器、本地调试，老老实实填 IP 白名单最直接；别为了“看起来高级”提前切 Private Link，反而卡在 DNS 或路由上
白名单本身没性能损耗，但每条规则都会增加一点控制台加载时间；超过 50 条后，页面响应明显变慢，删掉长期不用的测试 IP 很有必要。
