正确开放mysql 3306端口需四步协同：1. mysql bind-address设为内网ip或0.0.0.0；2. 云平台安全组仅放行可信ip；3. firewalld用rich rule精确授权源地址；4. 确保mysql用户host匹配连接来源。
firewalld 开放 3306 端口但不放行所有 IP
直接执行 firewall-cmd --add-port=3306/tcp --permanent 会让整个互联网都能连上你的 MySQL，这不是“开放端口”，是裸奔。firewalld 的 --add-port 默认作用于 public 区域，且无源地址限制，等价于允许任意 IP 的 TCP 3306 请求。
正确做法是用富规则（rich rule）精确控制来源：
- 只允许可信应用服务器访问：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.10.50" port port="3306" protocol="tcp" accept' - 允许多个 IP 时，逐条添加，不要用
192.168.10.0/24——除非该网段每台机器都可信且已加固 - 添加后必须重载：
firewall-cmd --reload，否则规则不生效 - 验证是否写入：
firewall-cmd --list-all，确认输出中包含对应 rich rule，而非仅ports: 3306/tcp
MySQL bind-address 和 firewalld 必须协同
firewalld 控制“谁能把包发到 3306”，而 MySQL 的 bind-address 决定“它愿不愿意收”。两者不匹配，连接必然失败。
常见错误现象：firewall-cmd --list-all 显示规则正常，telnet your_ip 3306 却超时 —— 很可能 MySQL 只绑了 127.0.0.1。
- 查当前监听地址：
ss -tlnp | grep :3306，若只显示127.0.0.1:3306，说明外部连接根本进不来 - 改配置文件
/etc/my.cnf或/etc/mysql/mysql.conf.d/mysqld.cnf中的bind-address，设为具体内网 IP（如192.168.10.5）或0.0.0.0（仅测试环境） - 改完重启服务：
systemctl restart mysqld，再用ss确认监听地址已更新 - 别用
skip-networking=ON替代绑定限制——它会彻底禁用 TCP，mysqldump、监控工具全失效
云服务器上安全组比 firewalld 更优先
你在 CentOS 里把 firewalld 配得再严，阿里云/腾讯云控制台的安全组如果开着 3306 全放行，MySQL 依然对外暴露。安全组是云平台的网络层网关，流量先过它，才到系统防火墙。
- 登录云控制台，检查对应实例的安全组入方向规则，确保只放行必要 IP 的
TCP:3306 - 安全组规则粒度通常比 firewalld 更粗（例如只支持 CIDR），所以 firewalld 富规则才是最后一道精细过滤
- 本地测试连不通？先
curl -v telnet://your_public_ip:3306或请同事从另一台云主机nc -zv your_private_ip 3306，定位卡在安全组还是系统防火墙
验证连接时容易忽略的三个点
很多人配完 firewalld 就去 mysql -h your_ip -u user -p，失败就怀疑防火墙，其实问题常出在别处。
- MySQL 用户的
host字段必须匹配连接来源：若用user@'192.168.10.50'连，但数据库里只有user@'localhost'，报错是ERROR 1130 (HY000): Host '192.168.10.50' is not allowed to connect，和防火墙无关 -
ufw和firewalld不能共存：Ubuntu 某些镜像预装 firewalld，若又启了 ufw，规则会冲突，systemctl status ufw firewalld看哪个 active - SELinux 启用时可能拦截：CentOS/RHEL 8+ 默认启用，临时关闭测试：
setenforce 0；若恢复连接，需加 SELinux 策略：semanage port -a -t mysqld_port_t -p tcp 3306
bind-address → 配安全组 → 加 firewalld 富规则 → 重载 → 验用户 host。漏掉任一环，都会让“开了端口却连不上”这个问题反复出现。
