ssh隧道连不上mysql主因是端口转发配置错误、mysql绑定地址与权限设置不匹配：需用-l 3307:127.0.0.1:3306建立隧道，mysql须监听0.0.0.0且授权user@'127.0.0.1'，禁用skip-networking。
ssh隧道连不上MySQL：端口转发没配对
本地连不上远程MySQL，不是密码错，而是ssh端口转发命令里本地监听端口和MySQL服务端口没对上。常见错误是把3306写成22，或漏掉-L参数里的127.0.0.1:前缀，导致绑定到localhost失败（某些SSH版本不认localhost，只认127.0.0.1）。
实操建议：
- 用
ssh -L 3307:127.0.0.1:3306 user@remote-host -N建立静默隧道，本地访问127.0.0.1:3307即等价于远程127.0.0.1:3306 - 远程MySQL必须允许
127.0.0.1（而非仅localhost）连接——localhost在MySQL里走socket，127.0.0.1才走TCP，隧道依赖后者 - 检查远程MySQL的
bind_address配置：不能是127.0.0.1（否则连不到），应设为0.0.0.0或留空，再靠防火墙/SSH限制访问来源
MySQL客户端报错“Access denied for user”但密码正确
这是权限问题，不是认证失败。SSH隧道只是转发流量，MySQL仍按原始连接地址校验用户权限。你从本地连127.0.0.1:3307，隧道转过去后，MySQL看到的是来自127.0.0.1（即远程本机）的连接，所以需要对应创建user@'127.0.0.1'账号，而不是user@'localhost'或user@'%'。
实操建议：
- 登录远程MySQL执行：
CREATE USER 'myuser'@'127.0.0.1' IDENTIFIED BY 'mypass'; GRANT ALL ON *.* TO 'myuser'@'127.0.0.1'; FLUSH PRIVILEGES; - 避免用
user@'%'——虽然方便，但绕过SSH隧道安全性，且可能被远程网络直接扫描到 - 如果用Docker跑MySQL，确认容器内
mysql服务监听的是0.0.0.0:3306，不是127.0.0.1:3306（后者容器外无法访问）
连接卡住、超时，或提示“Connection refused”
多数情况是SSH连接成功了，但MySQL进程根本没在远程127.0.0.1:3306上监听。比如MySQL配置了skip-networking，或者启用了bind_address = 127.0.0.1却没开TCP协议支持。
实操建议：
- 远程执行
netstat -tlnp | grep :3306，确认有tcp6或tcp监听在*:3306或127.0.0.1:3306；若只有127.0.0.1:3306且是tcp6，IPv4客户端可能连不上，需加bind_address = 0.0.0.0 - 检查MySQL错误日志：
tail -f /var/log/mysql/error.log，看是否启动失败或拒绝绑定端口 - Windows下用PuTTY建隧道时，务必勾选“Local ports accept connections from other hosts”，否则默认只允许
127.0.0.1访问本地端口
为什么不用公网IP+防火墙，而坚持用SSH隧道
因为MySQL原生协议不加密，用户名、密码、SQL明文传输。哪怕开了SSL，配置复杂、客户端兼容性差（比如旧版mysql命令行工具默认不校验证书），而SSH隧道天然加密、无需MySQL侧改动，且能复用已有密钥体系。
实操建议：
- 禁用远程MySQL的
3306端口对外暴露：用ufw deny 3306或云平台安全组封掉，只留SSH的22开放 - 用
~/.ssh/config固化配置，避免每次敲长命令：Host mysql-tunnel HostName remote-host.example.com User deploy LocalForward 3307 127.0.0.1:3306 ExitOnForwardFailure yes之后直接ssh mysql-tunnel - 别用
-f后台运行SSH隧道而不配合-N——容易漏掉错误退出，变成“以为连着，其实断了”
真正麻烦的从来不是建隧道，而是MySQL侧的权限粒度和网络栈理解偏差。比如以为localhost和127.0.0.1等价，结果账号白建了。
