Rocky Linux 9 部署 MongoDB 7.0 副本集最常踩的坑是 ProtectHome=true、SELinux 策略限制、bindIp 默认为 127.0.0.1 及 featureCompatibilityVersion 不匹配；需分别设 ProtectHome=false、打 SELinux 策略、改 bindIp 为 0.0.0.0 或具体内网 IP、统一 fCV 为 "7.0"。
直接说结论：Rocky Linux 9 上部署 MongoDB 7.0 副本集，最常踩的坑不是配置本身，而是系统级权限、SELinux 策略和 systemd 服务单元文件中 ProtectHome 的默认启用 —— 这三个点不手动关掉，mongod 会静默失败或卡在 activating 状态。
systemd 服务启动失败但日志无报错
现象是执行 systemctl start mongod 后状态卡在 activating (start)，journalctl -u mongod -n 50 看不到明显错误，只有一行 “Started MongoDB Database Server” 就没了。
- 根本原因是 Rocky 9 默认启用了
ProtectHome=true（属于 systemd 的 sandboxing 特性），它会阻止进程访问/home、/root和/run/user；如果你把密钥文件放在/root/mongodb-keyfile或数据目录设在/home/mongo/data，mongod会因权限被拒而无法初始化 - 解决办法：编辑
/usr/lib/systemd/system/mongod.service，在[Service]段下显式添加ProtectHome=false，然后运行systemctl daemon-reload && systemctl restart mongod - 顺带检查
NoNewPrivileges=true是否干扰（MongoDB 7.0 需要动态加载 WiredTiger 库），如遇 mmap 失败，也需设为false
SELinux 阻止 mongod 访问自定义路径
即使你按手册把数据目录设为 /opt/mongodb/data、日志设为 /opt/mongodb/log，SELinux 仍会拒绝 mongod 的读写请求，错误日志里会出现 avc: denied { read } for ... scontext=system_u:system_r:mongod_t:s0。
- 不要直接
setenforce 0—— 生产环境必须保持 enforcing - 正确做法是打策略包：
semanage fcontext -a -t mongod_var_lib_t "/opt/mongodb/data(/.*)?"，再执行semanage fcontext -a -t mongod_log_t "/opt/mongodb/log(/.*)?"，最后restorecon -Rv /opt/mongodb - 密钥文件（
/opt/mongodb/key/mongodb-keyfile）需额外加一条：semanage fcontext -a -t mongod_etc_t "/opt/mongodb/key(/.*)?"，否则--keyFile会报 permission denied
副本集初始化时 connect failed 或 No route to host
三个节点都跑起来了，mongosh --port 27017 能连本地，但主节点执行 rs.initiate() 后，从节点日志反复报 connect failed to mongodb-02:27017: No route to host，哪怕 ping 和 telnet 都通。
- 根本原因不是网络不通，而是
mongod启动时没加--bind_ip_all或绑定了127.0.0.1；Rocky 9 的mongod.conf默认是bindIp: 127.0.0.1，必须改成bindIp: 0.0.0.0或明确列出内网 IP（如10.20.12.207,127.0.0.1） - 防火墙要放行端口：
firewall-cmd --permanent --add-port=27017/tcp（所有节点），别漏掉--reload - 确保
/etc/hosts里三节点主机名和内网 IP 正确映射（比如10.20.12.207 mongodb-01），副本集配置里用的 hostname 必须能被其他节点getent hosts解析出来
featureCompatibilityVersion 不匹配导致升级后同步中断
如果你是从 6.0 升上来的，或者用了离线包但没注意版本兼容性，副本集成员间可能无法建立 oplog 同步，rs.status().members[n].stateStr 显示 STARTUP2 卡住，且 rs.printSecondaryReplicationInfo() 查不到延迟。
- MongoDB 7.0 要求所有节点
featureCompatibilityVersion必须设为"7.0"，不能留着"6.0" - 必须先在 Primary 上执行：
db.adminCommand({ setFeatureCompatibilityVersion: "7.0" })，再逐个重启 Secondary - 验证命令：
db.adminCommand({ getParameter: 1, featureCompatibilityVersion: 1 })，返回结果里version字段必须是"7.0"，否则rs.add("mongodb-02:27017")会失败并报node is not compatible
真正麻烦的从来不是敲多少命令，而是 Rocky 9 把安全机制拉得太满 —— ProtectHome、SELinux、firewalld、bindIp 默认值，四层防护叠在一起，任何一个没调对，mongod 就不说话。建议部署前先用 strace -f -e trace=openat,connect,bind /usr/bin/mongod -f /opt/mongodb/mongod.conf 抓一下底层系统调用，比翻日志快得多。
