怎么通过SSH通道连接MySQL_跳板机安全配置指南-navicat-PHP中文网

SSH隧道连MySQL失败主因是端口转发配置错误或MySQL权限未授权给跳板机IP；需用-L指定内网DB真实IP、本地连接用127.0.0.1、授权用户绑定跳板机IP或子网，并配置KeepAlive保活。

SSH隧道连MySQL连不上？先检查端口转发是否生效

本地连不上远程mysql，大概率是ssh隧道没通，而不是mysql本身拒绝连接。关键看ssh命令里有没有正确启用本地端口转发（-l），且目标地址写的是跳板机能访问的内网地址，不是127.0.0.1——跳板机上的127.0.0.1指向它自己，不是目标db。

正确写法：ssh -L 3307:10.10.5.20:3306 user@jump-host（10.10.5.20是DB在内网的真实IP）
错误写法：ssh -L 3307:127.0.0.1:3306 user@jump-host（除非MySQL真装在跳板机上）
连通后，在本地用mysql -h 127.0.0.1 -P 3307 -u dbuser -p测试，注意必须用127.0.0.1而非localhost，否则会走socket文件跳过TCP
如果ssh命令返回就退出，说明连接被立即断开，检查跳板机/etc/ssh/sshd_config中AllowTcpForwarding yes是否开启

MySQL报错“Access denied for user”但密码没错？权限绑定的是IP不是隧道出口

MySQL用户权限是按来源IP校验的，你本地发起的连接，经SSH隧道后，对MySQL来说来源IP是跳板机的内网IP（比如10.10.5.100），不是你的笔记本IP。所以CREATE USER 'foo'@'localhost'或'%' 都不管用。

必须显式授权给跳板机IP：CREATE USER 'foo'@'10.10.5.100' IDENTIFIED BY 'xxx';
或者更稳妥：授权给跳板机所在子网，如'foo'@'10.10.5.%'，避免每次换跳板机都要改
别漏掉GRANT和FLUSH PRIVILEGES，只建用户不赋权照样连不上
如果MySQL启用了skip-name-resolve，就别用主机名授权（如'foo'@'jump-prod'），DNS解析失败会导致权限匹配失败

连接卡住、超时或中断频繁？调整SSH KeepAlive参数

SSH连接空闲几分钟后被防火墙或中间设备静默断开，但本地MySQL客户端不知道，还在等响应，表现就是卡死或Lost connection to MySQL server。这不是MySQL问题，是隧道链路维持不住。

服务端（跳板机）加配置：sudo echo "ClientAliveInterval 60" >> /etc/ssh/sshd_config，再sudo systemctl restart sshd

客户端加配置（~/.ssh/config）：

Host jump-host
    HostName jump.example.com
    User deploy
    ServerAliveInterval 45
    ServerAliveCountMax 3

ServerAliveInterval 45表示每45秒发一次保活包，ServerAliveCountMax 3代表连续3次无响应才断开，这样最多容忍约2分钟断连
别把ServerAliveInterval设太小（如5秒），可能触发某些网络设备限流

为什么不用ProxyCommand而坚持用-L？安全边界和运维习惯问题

ProxyCommand确实能实现免本地端口占用的直连（如mysql -h db-internal -p --protocol=TCP），但它要求本地ssh能直接执行跳板机命令，意味着跳板机必须开放nc或socat，且MySQL服务器要允许跳板机IP直连——这其实扩大了攻击面。生产环境更倾向显式端口转发。

-L方式下，MySQL只对跳板机IP开放，本地机器即使中毒也不会暴露DB真实地址
所有流量经ssh加密，且可配合ExitOnForwardFailure yes确保隧道建立失败时ssh不后台运行
监控和审计更清晰：跳板机上netstat -tunlp | grep :3306能看到谁在转发，而ProxyCommand的连接在MySQL侧显示为跳板机本机连接，溯源困难
如果非要用ProxyCommand，务必确认跳板机/etc/ssh/sshd_config中PermitOpen未限制目标端口，否则会被拒绝