要允许外部访问MySQL，需配置防火墙开放3306端口并修改MySQL的bind-address为0.0.0.0或指定IP，同时确保用户权限设置正确，并在云服务器上配置安全组规则。
要允许外部访问 MySQL，配置防火墙是关键。本质上，我们需要开放 MySQL 默认的 3306 端口（或者你自定义的端口）。
解决方案：
确定防火墙类型： 常见的有
firewalld
(CentOS, RHEL 等)、ufw
(Ubuntu)、iptables
。不同防火墙配置命令不同。-
使用
firewalld
(CentOS/RHEL):- 检查
firewalld
状态：sudo firewall-cmd --state
- 如果未运行，启动
firewalld
：sudo systemctl start firewalld
- 永久允许 3306 端口：
sudo firewall-cmd --permanent --add-port=3306/tcp
- 重新加载防火墙规则：
sudo firewall-cmd --reload
- 验证端口是否已打开：
sudo firewall-cmd --list-all
(查看ports
部分是否包含3306/tcp
)
- 检查
-
使用
ufw
(Ubuntu):- 启用
ufw
：sudo ufw enable
- 允许 3306 端口：
sudo ufw allow 3306
- 查看
ufw
状态：sudo ufw status
(确认 3306 端口已允许)
- 启用
-
使用
iptables
(通用):- 允许 TCP 流量到 3306 端口：
sudo iptables -A INPUT -p tcp --dport 3306 -j ACCEPT
- 保存
iptables
规则（不同系统命令不同，例如 Debian/Ubuntu:sudo iptables-save > /etc/iptables/rules.v4
；CentOS/RHEL: 需要安装iptables-services
并使用sudo service iptables save
）
- 允许 TCP 流量到 3306 端口：
-
MySQL 配置 (重要): 仅仅开放防火墙端口是不够的，还需要确保 MySQL 允许来自外部的连接。
- 编辑 MySQL 配置文件 (
my.cnf
或my.ini
)，找到bind-address
。 - 如果
bind-address
设置为127.0.0.1
或localhost
，则只允许本地连接。需要修改为0.0.0.0
(允许所有 IP 连接，不推荐，不安全) 或者指定允许连接的 IP 地址。 - 修改后重启 MySQL 服务：
sudo systemctl restart mysql
(或相应的命令)。
- 编辑 MySQL 配置文件 (
-
用户权限: 确保 MySQL 用户有从外部 IP 连接的权限。
- 登录 MySQL：
mysql -u root -p
- 创建允许外部连接的用户（例如，允许
user
从192.168.1.100
连接）：CREATE USER 'user'@'192.168.1.100' IDENTIFIED BY 'password';
- 允许
user
从任何 IP 连接（同样不推荐，不安全）：CREATE USER 'user'@'%' IDENTIFIED BY 'password';
- 授权用户权限（例如，授予
user
所有数据库的全部权限）：GRANT ALL PRIVILEGES ON *.* TO 'user'@'192.168.1.100';
或GRANT ALL PRIVILEGES ON *.* TO 'user'@'%';
- 刷新权限：
FLUSH PRIVILEGES;
- 登录 MySQL：
如何确认防火墙规则生效？
最简单的办法是使用
telnet或
nc命令从外部机器测试端口连通性。例如：
telnet或3306
nc -vz。如果连接成功，说明防火墙规则生效。如果连接超时或被拒绝，则需要检查防火墙配置和 MySQL 配置。3306
为什么修改 bind-address
为 0.0.0.0
不安全？
将
bind-address设置为
0.0.0.0意味着 MySQL 服务器将监听所有网络接口上的连接。这使得任何能够访问服务器 IP 地址的人都可以尝试连接到 MySQL 服务器。如果 MySQL 服务器没有采取其他安全措施（例如，使用强密码、限制用户权限、启用 SSL 加密），则可能会受到安全攻击。更好的做法是只允许特定 IP 地址或 IP 地址范围连接到 MySQL 服务器。
如果我使用了云服务器，还需要配置什么？
如果你的 MySQL 服务器运行在云服务器上（例如，AWS EC2、阿里云 ECS、腾讯云 CVM），除了配置服务器自身的防火墙（如
firewalld或
ufw）之外，还需要配置云服务器的安全组规则。安全组相当于云服务器的另一层防火墙，需要显式地允许 3306 端口的入站流量。否则，即使服务器自身的防火墙已经开放了 3306 端口，外部仍然无法连接到 MySQL 服务器。
如何使用 SSL 加密 MySQL 连接？
为了提高 MySQL 连接的安全性，建议使用 SSL 加密。这可以防止数据在传输过程中被窃听或篡改。配置 SSL 加密涉及到生成 SSL 证书和密钥，并在 MySQL 服务器和客户端上进行配置。具体步骤可以参考 MySQL 官方文档或相关的教程。启用 SSL 加密后，客户端连接 MySQL 服务器时需要指定 SSL 相关的参数。
