ClickHouse云实例白名单不生效，主因是协议与端口不匹配、IP填写错误或权限配置遗漏；需确认端口（9000/8123）、选用对应驱动（ClickHouse/HTTP）、填公网出口IP、检查用户启用状态及数据库授权。

ClickHouse 云实例白名单不生效？先确认端口和协议

navicat 默认用 mysql 协议连接 clickhouse，但多数云厂商（如阿里云、腾讯云、bytehouse）的 clickhouse 实例默认只开放 9000（原生 tcp）或 8123（http）端口，且**不支持 mysql 协议**。直接填 3306 或勾选 “mysql” 驱动必然失败。

• 查清你用的云服务实际开放的是哪个端口：阿里云 CK 实例控制台 → 网络与安全 → 白名单 → 查看“连接地址”末尾端口号；ByteHouse 控制台明确标注 9000（Native）或 8123（HTTP）
• Navicat 必须选对驱动：Native 连接用 ClickHouse 驱动（Navicat 16+ 内置），HTTP 连接用 HTTP 驱动（需手动启用并填 http:// 地址）
• 白名单填的是客户端出口 IP，不是 Navicat 所在机器的局域网 IP；若在公司内网或使用代理，得填公网出口 IP（可用 curl ifconfig.me 确认）

Navicat 新建连接时填错哪些字段会导致“Connection refused”

错误常集中在认证信息和协议匹配上，不是密码错了，而是根本没走到鉴权那步。

• Host 填的是内网地址（如 ck-xxxxx-private.clickhouse.aliyuncs.com）——云厂商白名单只对公网地址生效，私有网络地址无法从本地直连
• Port 填了 9000 却选了 MySQL 驱动——协议不兼容，服务端直接拒绝，日志里看不到有效错误
• Username 写成 default 但云实例已禁用该用户（如腾讯云 CK 默认只开 admin），或密码含特殊字符未 URL 编码（HTTP 模式下尤其敏感）
• 勾选了 SSL 但云实例未启用 HTTPS（8443）或未提供可信 CA，连接会卡在 TLS 握手阶段

HTTP 模式 vs Native 模式：选哪个更稳？

Native 模式（9000）性能高、支持更多语法，但云环境常被防火墙拦截；HTTP 模式（8123）穿透性好、兼容性强，是多数云实例的推荐连接方式。

• Native 模式需确保安全组/防火墙放行 9000，且 Navicat 版本 ≥ 16.1（旧版驱动不稳定）
• HTTP 模式连接字符串格式必须是 http://:8123，不能漏 http:// 前缀，否则 Navicat 会当成 Native 尝试
• HTTP 模式下 Database 字段要显式填，空值会导致查询报错 DB::Exception: Database not specified
• 部分云厂商（如火山引擎 ByteHouse）要求 HTTP 请求带 X-ClickHouse-User 头，Navicat 不支持自定义 header，此时只能退回到 Native 模式或换 DBeaver

白名单加了还是连不上？检查这三处冷门配置

云平台控制台的“白名单”只是第一道门，后面还有实例级和用户级权限控制，容易被忽略。

• 阿里云 CK 控制台中，“账号管理”页需确认目标用户状态为“启用”，且“授权数据库”已分配读写权限（仅添加白名单不等于授权）
• 腾讯云 CK 的“网络与安全”里有两个白名单列表：一个是“公网白名单”，另一个是“VPC 白名单”——即使你走公网，也可能被误加到 VPC 列表里，无效
• ByteHouse 实例创建时若选了“最小权限模板”，则 default 用户被禁用，且新用户默认无 system 库查询权限，Navicat 连接后执行 SELECT 1 都可能因元数据查询失败而报错 Not found table system.one

最麻烦的其实是云厂商文档里没明说的隐式限制：比如某些 region 的 CK 实例强制要求开启 SSL，或者 HTTP 模式下必须传 database 参数才能建立会话。这些细节不翻控制台的具体提示或抓包看响应头，很难定位。