ssh -L 是 MySQL 客户端直连失败时最稳的隧道方案，通过 SSH 跳板机端口映射实现本地访问，无需改 MySQL 配置、不依赖额外服务、不需公网 IP。
MySQL 客户端直连失败时，ssh -L 是最稳的隧道方案
防火墙拦掉 3306 端口，不代表 mysql 不能连——只要你能 ssh 到跳板机（或目标服务器），ssh -l 就能把你本地的某个端口「映射」到远端 mysql 实例。它不依赖额外服务、不改 mysql 配置、也不需要公网 ip，是运维和开发最常落地的方案。
常见错误现象：ERROR 2003 (HY000): Can't connect to MySQL server on '127.0.0.1' (61)，但 ssh user@jump-host 能通；说明网络链路没问题，只是 MySQL 端口没暴露。
-
ssh -L 3307:127.0.0.1:3306 user@jump-host：把本地 3307 映射到跳板机的 127.0.0.1:3306（即跳板机自己跑的 MySQL） -
ssh -L 3307:db-host:3306 user@jump-host：如果 MySQL 在内网另一台机器db-host上，且跳板机能访问它，就用这个写法 - 连接时用
mysql -h 127.0.0.1 -P 3307 -u root -p——注意必须用127.0.0.1，不能用localhost（否则会走 socket，绕过隧道） - SSH 连接断开，隧道自动失效；加
-fN可后台运行，但得确保认证免密（如已配好~/.ssh/id_rsa）
用 ngrok 或 cloudflared 暴露本地 MySQL 给外部调用？别轻易试
这类工具确实能把本地 3306「反向代理」出去，生成一个公网 URL，但风险和限制极多，不是“能连”就等于“该用”。
使用场景极少：仅限临时给第三方调试用（比如外包团队要连你本机数据库），且你完全信任对方不会扫库、爆破或拖走数据。
-
ngrok tcp 3306会返回类似tcp://2.tcp.ngrok.io:12345的地址，但 MySQL 默认禁止远程 root 登录，且默认绑定127.0.0.1，需手动改bind-address = 0.0.0.0和开GRANT ... ON *.* TO 'user'@'%' - 一旦暴露，你的 MySQL 就在公网上裸奔；
cloudflared虽支持 ACL，但配置复杂，且无法拦截 SQL 层攻击 - 性能不可控：所有流量经第三方中转，延迟高、带宽受限，
mysqldump大表可能中断 - 很多公司防火墙会主动拦截已知 ngrok/cf-tunnel 的 TLS SNI 特征，连都连不上
Python 用 sshtunnel 库写代码连 MySQL，关键在 remote_bind_address 和 local_bind_address
自动化脚本或 Web 后端里硬编码 SSH 隧道，sshtunnel 是最轻量的选择。但它不像命令行那么直观，参数填错就报 TimeoutError 或 OSError: Socket is closed。
典型错误：把 remote_bind_address 写成 MySQL 所在机器的公网 IP，而没确认跳板机能否访问那个地址（多数情况只能访问内网 IP）。
-
remote_bind_address=('10.0.1.5', 3306)：这是 MySQL 实际监听的地址和端口，必须是跳板机网络可达的（通常是内网） -
local_bind_address=('127.0.0.1', 10022)：本地起一个临时端口，Python 代码后续连这里；不要设成 3306（可能被占） - MySQL 连接串里 host 填
'127.0.0.1'，port 填你指定的local_bind_address[1]，不是远端端口 - 务必用
with SSHTunnelForwarder(...) as tunnel:保证退出时自动关闭，否则残留隧道会卡住端口
隧道连上后查不到库？检查 MySQL 的 bind-address 和用户 host 字段
隧道本身通了，mysql -h 127.0.0.1 -P 3307 -u test -p 却提示 Access denied 或 No databases，问题往往不在 SSH，而在 MySQL 侧。
本质是：SSH 隧道只转发 TCP 流量，不改变 MySQL 的权限判断逻辑。它看到的客户端 IP，永远是隧道终点（即跳板机或 MySQL 本机）的 loopback 地址。
- 如果 MySQL
bind-address = 127.0.0.1，那它只接受来自本机的连接——这正好匹配隧道终点，没问题 - 但如果用户权限是
'test'@'192.168.1.%'，而隧道终点 IP 是127.0.0.1，就会拒绝——得加一条'test'@'127.0.0.1'或'test'@'localhost' -
SELECT user, host FROM mysql.user;看实际生效的 host；FLUSH PRIVILEGES;别忘了执行 - 某些云 MySQL（如阿里云 RDS）根本不允许改
bind-address，也不开放mysql.user表，此时只能走平台提供的「数据库代理」或「DMS 免密登录」，不能硬套 SSH 隧道
真正麻烦的从来不是建隧道，而是搞清每一跳的网络视角：SSH 看的是跳板机的路由表，MySQL 看的是 TCP 包的源 IP，而你的代码看的是本地端口。三者稍有错位，就卡在某个看似无关的环节。
