配置带TLS的Traefik代理MongoDB副本集遇连接超时求助

核心问题：副本集成员地址暴露逻辑 #

MongoDB副本集在客户端建立连接时，会把集群内配置的成员地址返回给客户端。如果你的副本集成员是用容器名（比如mongo1、mongo2）或内部Docker IP配置的，客户端（Mongo Compass）拿到这些内网地址后无法访问，就会触发「服务器选择超时」错误。

分步解决： #

1. 重新配置副本集对外访问地址
   进入任意Mongo容器执行命令，把成员地址替换为客户端能访问的公网域名+Traefik暴露的端口：

   rs.reconfig({
     _id: "rs0",
     members: [
       { _id: 0, host: "mongo.rocketdev.dev:27021" },
       { _id: 1, host: "mongo.rocketdev.dev:27022" },
       { _id: 2, host: "mongo.rocketdev.dev:27023" }
     ]
   }, {force: true})
   

2. 校验Traefik TCP路由配置
   确保每个Mongo实例的TCP路由正确绑定端口并开启TLS，示例Docker Compose标签配置：

   # 以mongo1为例
   - "traefik.tcp.routers.mongo1.entrypoints=mongo1"
   - "traefik.tcp.routers.mongo1.tls.certresolver=letsencrypt"
   - "traefik.tcp.routers.mongo1.service=mongo1"
   - "traefik.tcp.services.mongo1.loadbalancer.server.port=27017"
   

   注意：每个实例要对应独立的entrypoint（端口27021/27022/27023），且必须开启TLS配置。

3. 修正连接字符串的TLS参数
   因为使用Let's Encrypt签发的证书，连接字符串需明确指定TLS选项，示例：

   mongodb://<USER>:<PASSWORD>@mongo.rocketdev.dev:27021,mongo.rocketdev.dev:27022,mongo.rocketdev.dev:27023/?replicaSet=rs0&tls=true&tlsInsecure=false
   

   • 公网环境下tlsInsecure=false即可（Let's Encrypt证书为公可信根）；测试环境可临时设为true排查问题。
   • 旧版本Mongo驱动需用ssl=true替代tls=true。

4. 验证端口与防火墙规则

   • 用nc -zv mongo.rocketdev.dev 27021测试端口连通性，确认主机端口对外开放。
   • 检查云服务商安全组/本地防火墙，确保27021/27022/27023端口的TCP流量被允许。

5. 检查Traefik证书状态
   通过Traefik Dashboard确认Let's Encrypt证书已成功获取，无过期或签发失败情况。

额外排查手段 #

• 查看Mongo容器日志，确认是否有来自Traefik的连接请求被拒绝。
• 用mongosh测试连接，获取更详细的错误信息：

  mongosh "mongodb://<USER>:<PASSWORD>@mongo.rocketdev.dev:27021,mongo.rocketdev.dev:27022,mongo.rocketdev.dev:27023/?replicaSet=rs0&tls=true"
  

内容的提问来源于stack exchange，提问作者Ahmed HAMEED