MySQL生产环境报错连接拒绝_检查端口监听与系统防火墙-mysql教程-PHP中文网

mysql连接拒绝首要排查mysqld是否监听3306端口，再检查bind_address配置、用户host权限、systemd服务状态、防火墙规则顺序及云安全组设置。

mysql生产环境报错连接拒绝_检查端口监听与系统防火墙

连接被拒绝（ERROR 2003 (HY000): Can't connect to MySQL server on 'x.x.x.x' (111)）最常见原因不是防火墙，而是mysqld压根没起来，或根本没绑定到你尝试连接的地址和端口。

别急着关防火墙——先登录服务器执行：

sudo netstat -tlnp | grep :3306

如果没输出，说明mysqld没监听3306；如果只看到127.0.0.1:3306而你从远程连，那是因为bind_address配置成了127.0.0.1或localhost（后者在某些系统上等价于127.0.0.1）。

bind_address在/etc/my.cnf或/etc/mysql/mysql.conf.d/mysqld.cnf中，设为0.0.0.0才允许远程连接（生产环境需配合授权与防火墙）
改完必须重启服务：sudo systemctl restart mysql（Ubuntu/Debian）或sudo systemctl restart mysqld（CentOS/RHEL）
检查错误日志定位启动失败原因：sudo tail -20 /var/log/mysql/error.log或/var/log/mysqld.log

端口通了，mysql -h x.x.x.x -u user -p仍报错Access denied，大概率是账号权限问题。MySQL认证不仅看密码，更严格校验user@host组合。

登录本地mysql -u root -p后查：

SELECT user, host FROM mysql.user WHERE user = 'your_user';

如果结果里host是localhost，那它只能从本机socket连接，无法响应TCP请求。

远程访问需显式授权，例如：CREATE USER 'app'@'10.10.20.%' IDENTIFIED BY 'pwd'; 或 GRANT ALL ON db.* TO 'app'@'%';
执行FLUSH PRIVILEGES;生效（但注意：8.0+多数情况不需要）
%不匹配localhost，也不匹配IPv6的::1；如需本机TCP连，单独加'user'@'127.0.0.1'

有些MySQL部署启用了socket activation（比如mysqld.socket），或依赖network.target。若网络未就绪、或systemd认为前置服务失败，mysqld.service可能静默跳过启动。

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

运行以下命令确认真实状态：

sudo systemctl status mysqld<br>sudo systemctl list-dependencies --reverse mysqld.service

常见陷阱：

mysqld.service被mysqld.socket接管，但socket未触发（比如没人连3306）→ 查sudo systemctl status mysqld.socket
配置文件语法错误导致启动退出，systemctl status只显示failed，要盯journalctl -u mysqld -n 50 --no-pager
磁盘满、datadir权限不对、SELinux拦截（CentOS）也会让服务起不来，但错误日志里才有线索

很多人加了iptables -A INPUT -p tcp --dport 3306 -j ACCEPT就以为完事，但若INPUT链默认策略是DROP，且这条规则位置靠后，前面已有REJECT或DROP规则，请求会在到达你的ACCEPT前就被拦下。

查规则顺序和默认策略：

sudo iptables -L INPUT -n --line-numbers<br>sudo iptables -S INPUT

关键点：

生产环境别裸开0.0.0.0/0，按应用服务器IP段精确放行，3306暴露在公网等于邀请扫描器爆破。