Navicat连接MongoDB报TLS handshake timeout或certificate verify failed本质是SSL/TLS握手失败，需严格匹配服务端配置：本地单机关SSL、云服务（Atlas/阿里云等）必须选Require并正确配置authSource与CA证书路径。
Navicat连MongoDB报TLS handshake timeout或certificate verify failed
这类错误本质是ssl/tls握手阶段失败，不是密码错、端口错那种表层问题，而是加密通道根本没建起来。navicat卡在等待服务端响应证书或密钥，超时后直接断开，错误里往往不出现“authentication”字样，容易误判为网络不通。
关键判断点：connection timeout但telnet your_host port能通，基本就是TLS配置不匹配。
- 本地单机 MongoDB 默认禁用 TLS，Navicat 连接配置里却勾了
Use SSL→ 关掉它 - 云服务（Atlas/阿里云/腾讯云）强制要求 TLS，但 Navicat 选了
Allow或Preferred→ 必须选Require - 自建 MongoDB 启用了 TLS，但 Navicat 没填 CA 证书路径 → 勾选
Validate Certificate并填入/path/to/ca.pem - 阿里云 MongoDB 要求
authSource=$external，但你填成admin→ 这个值必须严格匹配，不能手改
Navicat里SSL开关和认证机制怎么配才不冲突
SSL 和 Authentication Mechanism 是耦合项，单独调对一个没用。比如阿里云只支持 SCRAM-SHA-1 或 SCRAM-SHA-256，且只在 TLS 启用时才接受这两种机制；若关了 SSL，它连认证流程都不走，直接拒绝连接。
常见组合：
- 本地 Docker MongoDB（未配 TLS）：SSL 选项 关闭，Authentication Mechanism 选
SCRAM-SHA-1（兼容性最好） - 阿里云 MongoDB 版：
Use SSL打钩 + 协议选Require+Validate Certificate打钩 + CA 路径填控制台下载的aliyun-mongodb-ca.pem+Authentication Mechanism选SCRAM-SHA-256（若创建用户时选的是这个） - MongoDB Atlas Free Tier：
authSource=$external必须显式填进Authentication Database字段，SSL 同样选Require，CA 证书需手动导入（路径不能错）
为什么填了正确CA路径还是报certificate verify failed
CA 文件本身没问题，但 Navicat 加载失败——最常被忽略的是文件权限和路径格式。
- Linux/macOS 下，Navicat 进程可能没读取
/etc/ssl/certs/ca.pem的权限，建议复制到用户目录下，填绝对路径如/home/yourname/ca.pem - Windows 路径含空格或中文（如
C:\Program Files\Navicat\ca.pem）→ 改用短路径或移到C:\ca.pem - CA 文件是 PEM 格式但开头少了
-----BEGIN CERTIFICATE-----→ 用文本编辑器检查头尾是否完整 - Navicat 16.3.9 及更早版本对 PEM 解析有 bug，升级到 16.4+ 可绕过
测试TLS是否真通的最快方法
别依赖 Navicat 的「测试连接」按钮，它只反馈最终结果，不输出握手细节。用命令行快速验证：
mongosh "mongodb://user:pass@host:port/admin?authSource=admin&tls=true&tlsCAFile=/path/to/ca.pem"
如果 mongosh 能连上并列出数据库，说明 TLS 配置本身没问题，问题一定出在 Navicat 的界面字段映射上——比如你把 tlsCAFile 对应的路径填到了「SSL Key File」框里，而不是「CA Certificate File」。
云环境尤其要注意：$external 这个 authSource 值不能靠猜测，必须从服务商控制台「账号管理」页确认，少一个符号都会导致 TLS 握手成功但认证失败。
