进行一次系统性的故障排查：当新加入的节点在 rs.status() 输出中持续显示 "stateStr": "DOWN" 或 "health": 0 时，几乎可以确定是网络层存在阻挡，而非配置语法错误或服务未启动。
验证节点间27017端口连通性
不要只依赖 ping 或仅测试本机。关键在于从“新增成员”所在机器向“主节点”的 IP 和端口发起连接测试，然后反向再执行一次：
telnet 192.168.86.11 27017（从新节点连接主节点）nc -zv 192.168.86.11 27017（Linux 下更精确，无需依赖 telnet 包）- 若连接失败，先临时关闭防火墙测试：
sudo ufw disable（Ubuntu）或sudo systemctl stop firewalld（CentOS） - 在云服务器中，仅靠本地防火墙放开还不够——安全组若未放行，同样无法连通
确认bindIp配置是否允许跨节点访问
新增成员的 /etc/mongod.conf 中 net.bindIp 若仍为默认的 127.0.0.1，则仅能响应本机请求，其他节点发送的握手包会被内核直接丢弃：
- 正确做法是显式列出通信 IP：
bindIp: 192.168.86.12,127.0.0.1（假设该节点内网 IP 为 192.168.86.12） - 写
0.0.0.0虽然可通，但不推荐用于生产环境，需配合防火墙严格限制来源 IP - 修改后必须重启服务：
systemctl restart mongod，使用reload无效
验证/etc/hosts是否完成双向静态映射
若副本集配置中使用主机名（例如 mongo2.example.com），而新增成员无法解析该名称，则 rs.add() 或心跳会卡在 STARTUP2 并报 HostNotFound：
- 在新增成员上执行
getent hosts mongo2.example.com，应返回真实内网 IP，而非127.0.0.1 - 所有节点的
/etc/hosts都必须包含彼此的映射，例如：192.168.86.11 mongo1.example.com mongo1 - 特别注意：新增成员自身的
hostname -f输出必须与rs.conf()中声明的host字段完全一致，大小写及空格均不可有差异
校验keyFile与replSetName是否完全一致
即便网络连通，新增成员也可能因身份校验失败而被拒绝加入：
- 所有成员的
replication.replSetName必须完全相同（大小写敏感），且与rs.initiate()中的_id一致 - 启用访问控制时，
security.keyFile文件内容必须字节级一致，权限必须为600 - 通过日志确认：
tail -f /var/log/mongodb/mongod.log | grep -i "key|repl|auth"，常见报错为Unable to load key file: Invalid argument
真正导致故障的往往不是单一因素，而是多个条件叠加：例如 bindIp 未放开、/etc/hosts 缺少一行映射、安全组未配置等。建议每次仅修改一项，修改后立即通过 telnet 和 rs.status() 验证，这样比一次性调整多个配置更为可靠。
