x509认证链在TLS握手前卡住导致连接超时，根本原因是客户端证书未被服务端识别或拒绝，常见于tlsMode非requireTLS、未配置tlsCAFile、subject字段不匹配、驱动证书加载错误或日志中静默失败。
连接超时不是 TLS 握手失败的典型表现，而是 x.509 认证链在建立连接前就卡住了——根本原因通常是客户端证书未被服务端识别或拒绝，导致连接在认证阶段被静默中断，最终触发客户端的 serverSelectionTimeoutMS 或 connectTimeoutMS 超时。
检查 mongod/mongos 是否真正启用了 requireTLS 和 CA 验证
很多配置看似启用了 TLS，实则只是打开了加密通道，没强制验证客户端证书：
• 必须确认 tlsMode 是 requireTLS（不是 allowTLS 或 preferTLS）
• 必须显式指定 tlsCAFile，否则服务端不会校验客户端证书签名
• 若使用 tlsCertificateSelector，需确保系统能从证书中准确提取 subject，且不依赖 tlsCAFile
• 在 mongod/mongos 启动后执行 db.runCommand({getCmdLineOpts: 1})，检查返回中 parsed.net.tls.mode、parsed.net.tls.CAFile 是否存在且路径可读
验证客户端证书是否满足 MongoDB 的 subject 约束条件
MongoDB 对客户端证书的 subject 字段有硬性要求，不满足会导致连接被丢弃而非报错：
• 客户端证书的 O（Organization）、OU（Organizational Unit）、DC（Domain Component）三者组合，必须与集群成员证书（shard/mongos/rs node）的对应字段**不同**
• 若服务端设置了 tlsX509ClusterAuthDNOverride，客户端证书 subject **不能匹配该值**
• 证书必须包含 keyUsage = digitalSignature 和 extendedKeyUsage = clientAuth
• 用 openssl x509 -in client.crt -text -noout 检查字段，避免空格、大小写、顺序差异引发匹配失败
确认客户端连接串和驱动是否正确传递证书
.NET/C#、Python/Pymongo 等驱动对证书加载方式差异大，常见断点在这里：
• .NET 驱动必须用 X509Certificate2.CreateFromPem() 或 Pkcs12Store 加载，不能只传 PEM 路径
• 连接字符串中必须显式指定 authMechanism=MONGODB-X509 和 authSource=$external
• 若证书私钥有密码，驱动必须提供且密码字符无特殊符号（如 $、@ 在 URI 中需 URL 编码）
• 使用 mongo shell 测试时，命令必须带 --tls --tlsCertificateKeyFile client.pem --tlsCAFile ca.pem，缺一不可
排查服务端日志里“静默拒绝”的线索
超时背后往往藏着一条被忽略的警告，而不是 ERROR：
• 查看 /var/log/mongodb/mongod.log（不是 config server 或 mongos 日志），搜索关键词："x509 authentication failed"、"invalid certificate"、"subject mismatch"
• 若看到 "No route to host" 或 "Connection reset by peer"，大概率是 TLS 握手成功但认证失败后内核终止了连接
• 注意时间戳：认证失败日志通常出现在客户端首次连接后的几秒内，别翻到滚动日志底部去漏掉
最易被忽略的是：客户端证书 subject 与集群成员证书的 O/OU/DC 完全一致时，mongod 不会报错，而是直接授予超级权限并记录警告——这种“成功认证”反而会让后续操作因权限越界被拦截，表现为查询超时或无响应。务必逐字比对 subject 字符串，包括空格和标点。
