外网连不上 MongoDB 不仅需设 bindIp: 0.0.0.0，还需同步放行系统防火墙、云安全组及宝塔安全模块的 27017 端口，并启用 authorization 及正确配置 authSource。
bindIp 必须设为 0.0.0.0，否则外网根本连不到 MongoDB；但光改这一项远远不够，缺任何一个环节都会卡在“连接超时”。
为什么改了 bindIp 还是连不上
常见现象是：配置文件里写了 bindIp: 0.0.0.0，systemctl restart mongod 也执行了，但外网 telnet 服务器IP 27017 仍不通。这不是 MongoDB 自身问题，而是三层拦截没打通：
- MongoDB 只监听了
0.0.0.0，但操作系统防火墙（如ufw或firewalld）默认拦掉所有入向 TCP 流量 - 云厂商（阿里云/腾讯云/AWS）的安全组规则默认拒绝全部端口，
27017不在放行列表里 - 宝塔面板自带的「安全」模块里，也可能额外加了一层端口拦截（尤其开启过“暴力破解防护”时）
mongod.conf 中 bindIp 和 port 的实际写法
别直接搜 bindIp 替换，新版 MongoDB 配置是 YAML 格式，缩进和冒号后空格必须严格。正确写法如下（注意 net: 下的缩进）：
net: port: 27017 bindIp: 0.0.0.0
错误写法示例（会导致服务启动失败）：
-
bindIp:0.0.0.0（冒号后没空格） -
bindIp: 127.0.0.1,0.0.0.0（旧版写法，v4.4+ 已不支持逗号分隔） - 把
bindIp写在security:块下面（YAML 层级错乱）
三个地方必须同时放行 27017 端口
只开一个等于白开。按优先级顺序检查：
- 宝塔面板 → 「安全」→ 放行端口
27017（TCP） - 系统防火墙：
ufw allow 27017/tcp（Ubuntu）或firewall-cmd --permanent --add-port=27017/tcp && firewall-cmd --reload（CentOS） - 云控制台 → 安全组 → 添加入方向规则：
0.0.0.0/0访问TCP:27017（生产环境建议限制为具体 IP 段）
验证是否生效：在服务器上运行 ss -tlnp | grep :27017，输出中应含 *:27017（不是 127.0.0.1:27017）
连接前必须启用 authorization 并创建用户
开放外网后不设密码 = 把数据库挂在公网裸奔。启用认证要两步：
- 在
mongod.conf中添加（注意缩进层级）：security: authorization: enabled
- 重启服务后，用
mongosh连本地，执行：use admin db.createUser({user:"admin", pwd:"your_strong_password", roles:["root"]}) - 连接字符串必须带认证库：
mongodb://admin:your_strong_password@服务器IP:27017/admin?authSource=admin
漏掉 ?authSource=admin 是新手最常踩的坑——连接能通，但一操作就报 not authorized on test to execute command
bindIp: 0.0.0.0 后不重启服务、不验证 ss 输出，就等于没改。 
