rs.status()显示DOWN或STARTUP2卡住，根本原因是副本集成员间心跳通信失败，需确保27017端口双向连通、host地址可解析可直连、防火墙与安全组放行、无端口冲突。
连接失败时 rs.status() 显示 DOWN 或 STARTUP2 卡住
这通常不是 MongoDB 服务没起来，而是副本集成员之间根本“说不上话”。rs.status() 里某个成员状态长期停在 STARTUP2 或直接是 DOWN，说明心跳包（isMaster 请求）压根没发出去或没收到响应——这类通信不走常规客户端连接流程，但同样依赖 27017 端口，且对防火墙更敏感。
关键点在于：副本集节点间所有通信（选举、oplog 拉取、心跳）都复用同一个监听端口（默认 27017），没有额外开新端口。所以只开放客户端访问的 27017 是不够的，必须确保**双向**允许该端口的 TCP 流量。
- 在节点 A 上执行
telnet 节点B_IP 27017，能连通仅说明 A → B 单向通；还需在 B 上执行telnet 节点A_IP 27017验证反向 - Linux 下临时关闭防火墙测试：
sudo ufw disable（Ubuntu）或sudo systemctl stop firewalld（CentOS/RHEL） - Windows 用户需检查“高级安全 Windows 防火墙”中入站规则是否放行
mongod.exe或明确端口27017 - 云服务器（如阿里云 ECS、AWS EC2）必须额外配置安全组，本地防火墙开了 ≠ 云平台放行
bindIp 正确但依然连不上？检查 iptables/ufw 是否静默丢包
bindIp 设成 0.0.0.0 或具体内网 IP 并不等于网络通畅。Linux 默认的 iptables 或 ufw 可能对 ESTABLISHED/RELATED 连接以外的包直接 DROP，而副本集初始握手阶段的 SYN 包就容易被拦。
验证方法：在任一节点上运行 sudo tcpdump -i any port 27017 -c 10，然后在另一节点执行 mongosh --host 节点A_IP:27017。如果抓不到任何 SYN 包，说明请求根本没到达本机网络栈——问题出在路由或上层防火墙。
- 不要只查
ufw status，要确认规则链顺序：sudo ufw status verbose，留意是否有 deny 规则优先匹配 - 若使用
iptables，检查INPUT链是否包含类似REJECT all -- anywhere anywhere reject-with icmp-host-prohibited的兜底规则 - 放行建议写成精确规则：
sudo ufw allow from 节点B_IP to any port 27017 proto tcp，避免宽泛的allow 27017
端口被其他进程占用导致 mongod 启动失败或监听异常
即使 systemctl start mongod 返回 success，也不代表它真在 27017 上监听。日志里可能有 Address already in use，但 systemd 默认不把 mongod 的 stderr 输出到 journal，容易被忽略。
查端口占用最直接的方式是：
- Linux：
sudo lsof -i :27017或sudo netstat -tulnp | grep :27017 - Windows：
netstat -ano | findstr :27017，再用tasklist /FI "PID eq XXXX"查进程名 - 启动后立刻验证监听：
ss -tlnp | grep 27017，看State是否为LISTEN，PID是否对应mongod - 若端口被占，要么杀掉冲突进程，要么在
mongod.conf中改port: 27018并同步更新所有副本集配置里的host字段
连接字符串和副本集配置中的 host 必须用可路由地址
副本集初始化时写的 host（比如 "mongodb01:27017"）会被其他成员用来反向连接。如果这个 hostname 在目标节点上无法解析，或者解析成 127.0.0.1，就会形成“自己连自己”的死循环，rs.status() 显示 HEALTH: 0。
真实场景中常见错误：
- /etc/hosts 里把
mongodb01指向127.0.0.1，但该节点实际要被其他机器访问 - DNS 解析正常，但目标节点的
hostname -i返回的是 docker0 或 virbr0 网桥地址，而非业务网卡 IP - 云环境用了私有 DNS，但副本集成员没配相同 DNS 服务器，导致互相解析失败
- 解决办法：统一用节点的**业务网卡 IP**（如
10.0.1.5:27017）写进rs.initiate()配置，避免任何 hostname 依赖
副本集连接问题最难缠的地方，往往不在 MongoDB 自身配置，而在于网络路径上的某一层——可能是宿主机防火墙、容器网络策略、云平台安全组，甚至 Kubernetes Service 的 endpoint 未就绪。只要 telnet 不通，就先别调 mongosh 或改配置，层层剥离网络层干扰才是最快路径。
