mysql默认不监听ipv6，需显式配置bind-address为::或具体ipv6地址；启用ipv6须同时设置skip-name-resolve=on，并用完整ipv6地址或左对齐通配符授权，防火墙和安全组也需支持ipv6。
MySQL 默认不监听 IPv6，除非显式配置 bind-address
MySQL 启动时若 bind-address 未设为 :: 或具体 IPv6 地址，它只监听 IPv4（通常是 127.0.0.1 或 0.0.0.0），哪怕系统已启用 IPv6。这不是 bug，是历史默认行为——mysqld 在解析 bind-address 时对 :: 和 0.0.0.0 的处理逻辑完全不同。
-
bind-address = 0.0.0.0：仅监听所有 IPv4 接口，不包含 IPv6 -
bind-address = ::：监听所有 IPv6 接口（包括映射的 IPv4，取决于skip-name-resolve和内核设置） -
bind-address = ::1：仅监听本地 IPv6 回环（类似127.0.0.1） - 留空或注释掉
bind-address：行为因版本而异；5.7+ 多数情况等效于127.0.0.1，不是自动双栈
my.cnf 中必须同时放开 skip-name-resolve 才能稳定接受 IPv6 连接
开启 IPv6 后，如果客户端用 IPv6 地址连接（如 mysql -h 2001:db8::1 -u root），MySQL 默认会尝试反向 DNS 解析该地址。一旦 DNS 不响应或返回失败，连接就会卡住或报错 Host '2001:db8::1' is not allowed to connect——这其实不是权限问题，而是解析超时导致认证流程中断。
- 必须在
[mysqld]段中添加skip-name-resolve = ON - 启用后，
host字段在mysql.user表中只能使用 IP（IPv4 或 IPv6）或%，不能写域名 - 否则即使
GRANT写了'user'@'2001:db8::%'，也会因解析失败跳过匹配
IPv6 权限授权要写完整压缩格式，且注意通配符不跨段
MySQL 的 host 匹配不支持 CIDR 或前缀长度语法，IPv6 授权必须用完整地址或带 % 的左对齐通配。例如 'user'@'2001:db8::1' 和 'user'@'2001:db8::%' 是有效的，但 'user'@'2001:db8::/64' 会被当成字面字符串匹配失败。
- 推荐用
GRANT ALL ON *.* TO 'user'@'2001:db8::%'覆盖子网（注意双冒号只能出现一次） - 避免用
::开头的通配（如'user'@'::%'），某些旧版本可能无法正确截断匹配 - 执行后记得
FLUSH PRIVILEGES，IPv6 host 匹配不缓存在连接池里，每次新连接都实时查表
telnet / nc 测试连通性前，先确认防火墙放行 IPv6 和端口
Linux 上 iptables 和 ip6tables 是两套独立规则。开了 bind-address = :: 且 skip-name-resolve，但连不上，90% 是 ip6tables 拦住了 3306。不要只查 iptables -L。
- 检查：运行
ip6tables -L -n | grep :3306，确认有 ACCEPT 规则 - 临时放行：
ip6tables -I INPUT -p tcp --dport 3306 -j ACCEPT - 云服务器还要看安全组——阿里云/腾讯云的安全组默认不处理 IPv6，需手动添加 IPv6 规则
- 测试命令用
nc -6 <code>2001:db8::13306，加-6强制走 IPv6，避免 fallback 到 IPv4
IPv6 的地址压缩、双栈兼容、DNS 解析耦合这几个点，任何一个没对齐，连接就静默失败。调试时别只盯着 MySQL 日志，tcpdump -6 port 3306 看握手是否发出、是否被 DROP，比查错误日志更快。
