无法从Elastic Beanstalk的EC2实例访问外部MongoDB Atlas数据库

优先排查SSL/应用层配置（本地正常、远程SSL报错，大概率是这类问题） #

• 核对MongoDB Atlas连接字符串：确保部署到Beanstalk的连接串与本地完全一致，重点确认ssl=true（Atlas强制要求SSL连接）、集群主机名、认证用户名/密码无拼写错误。
• 检查Java版本兼容性：Spring Boot运行的Java版本需与本地匹配，Java 8u191及更早版本对TLS 1.2的支持存在缺陷，而MongoDB Atlas仅允许TLS 1.2+的连接。可通过Beanstalk的EC2实例执行java -version查看当前版本，或在Beanstalk环境配置中指定兼容的Java版本。
• 验证Atlas IP白名单：确认Beanstalk对应的EC2实例公网IP已加入MongoDB Atlas的IP白名单。本地IP在白名单但远程EC2 IP未添加时，Atlas会直接拦截连接，部分场景下会包装为SSL内部错误。可临时将Atlas白名单设为0.0.0.0/0做测试（测试完成后务必改回更严格的白名单）。

网络配置排查（应用层排查无果后再做） #

• 检查默认VPC网络ACL规则优先级：网络ACL规则按优先级数字（数值越小优先级越高）依次执行，若存在允许全出站（0.0.0.0/0，所有端口）的规则，需确保其优先级高于拒绝规则。默认VPC的ACL默认是允许所有出站的，若你手动添加了拒绝规则，调整其优先级即可，无需删除。
• 无需立刻创建自定义VPC：只要EC2安全组已开放全出站流量，且ACL允许规则优先级正确，网络层面就不会阻碍外部连接。自定义VPC是最后选项，仅当默认VPC的ACL规则确实无法调整时再考虑。

快速验证手段 #

• 在EC2实例上测试连通性：通过Beanstalk的EC2实例控制台执行telnet <Atlas集群主机地址> 27017或nc -zv <Atlas集群主机地址> 27017，判断网络是否能通。若能连通则问题肯定在应用层；若不通再深挖网络配置。
• 查看Atlas连接日志：登录MongoDB Atlas控制台查看集群的连接日志，直接获取连接被拒绝的具体原因，定位更精准。

内容的提问来源于stack exchange，提问作者Mario Mateaș