端口连通性必须用 nc 或 telnet 实测，不能只看 ping；防火墙放行端口不等于端口真能通，因 ping 走 icmp 而 mongodb 依赖 tcp 连接，需用 nc -zv ip 27017 或 telnet ip 27017 验证是否 succeeded/connected。
端口连通性必须用 nc 或 telnet 实测，不能只看 ping
防火墙放行了端口 ≠ 端口真能通。MongoDB 副本集成员间通信依赖 TCP 连接，而 ping 只走 ICMP，完全绕过端口和防火墙规则。常见错误是看到 ping 通了就认为没问题，结果 rs.initiate() 卡住或报 no reachable servers。
- 用
nc -zv 27017（推荐）或telnet 27017测试——成功会显示succeeded或Connected；失败则明确提示Connection refused或Timeout - 如果本地测试通，但副本集成员之间不通，说明问题出在目标节点的防火墙或安全组，不是发起方
- 云服务器（如 AWS、阿里云）务必检查安全组规则：入方向需放行源 IP 段 + 端口 27017（或你配置的实际端口），不能只开“全部流量”或只配出方向
bindIp 配置和防火墙必须匹配，否则白开端口
即使防火墙开了 27017，若 mongod 启动时绑定了 bindIp: 127.0.0.1，它只监听本地回环，外部请求根本进不来——这时 nc 测试必失败，且日志里通常没有明显报错。
- 检查配置文件
/etc/mongod.conf中的net.bindIp字段：生产环境应显式列出可访问的 IP，例如192.168.1.10,127.0.0.1；设为0.0.0.0虽方便但有安全风险，仅限调试 - 改完配置必须重启服务：
sudo systemctl restart mongod，否则新配置不生效 - 确认
mongod实际监听地址：sudo netstat -tulnp | grep :27017，输出中第二列（Local Address）应包含你期望的 IP，而非仅127.0.0.1:27017
Ubuntu 上 ufw 默认拒绝所有入站，必须显式允许
Ubuntu 自带 ufw 防火墙默认策略是 deny incoming，哪怕你没手动配置过规则，也可能拦住 MongoDB 端口。
- 运行
sudo ufw status verbose查看当前状态和规则——重点看Status: active和是否有27017相关条目 - 若未放行，执行
sudo ufw allow 27017；如需限定来源，用sudo ufw allow from 192.168.1.0/24 to any port 27017 - 注意：
ufw规则顺序很重要，靠后的 deny 规则可能覆盖前面的 allow——用sudo ufw status numbered查序号，必要时sudo ufw delete [编号]清理冲突规则
副本集初始化时 host 字段写错，防火墙再通也没用
防火墙和端口都正常，但 rs.initiate() 仍报 invalid host address 或超时，大概率是初始化脚本里的 host 值不可达——比如写了 localhost，而其他成员根本解析不到这个地址。
-
host必须是其他成员能直接nc通的地址，优先用内网 IP（如192.168.1.10:27017），避免 DNS 依赖 - 确保每个成员的
host值和其实际bindIp配置一致；例如某成员绑定了192.168.1.10，就不能在 config 里写mongodb01.local:27017除非该域名在所有节点都已正确解析 - 验证方式：从任一成员机器上执行
nc -zv 27017，必须返回 success —— 这才是副本集能握手成功的最低前提
bindIp、host 三者必须同时对齐，缺一不可。最容易被忽略的是：你以为开了端口，其实 mongod 根本没监听那个地址；或者你 nc 测试的是自己，却忘了从其他成员视角去连。
