远程连不上MySQL的90%原因在于四层关卡未全过：MySQL用户权限（Host需为%或具体IP）、my.cnf中bind-address须设为0.0.0.0或删除、宝塔防火墙需放行3306端口、云厂商安全组也必须同步放行3306，且每步修改后均需重启MySQL服务并验证。
远程连不上 MySQL，90% 是卡在四层关卡没全过：MySQL 用户权限、my.cnf 绑定地址、宝塔防火墙、云厂商安全组。缺一不可，顺序也不能乱。
MySQL 用户 Host 字段必须设为 % 或具体 IP
默认安装的 MySQL（包括宝塔一键部署）只允许 localhost 连接，外部 IP 会直接报错：Host 'xxx.xxx.xxx.xxx' is not allowed to connect to this MySQL server。这不是网络问题，是权限拦在最前面。
- 宝塔面板操作：进入【数据库】→ 找到目标用户（如
root）→ 点【修改权限】→ 将「访问权限」从localhost改成%（允许任意主机）或填具体客户端 IP（如203.0.113.25） - 命令行方式（若面板无此选项）：
GRANT ALL PRIVILEGES ON *.* TO 'your_user'@'%' IDENTIFIED BY 'your_password' WITH GRANT OPTION;+FLUSH PRIVILEGES; - 改完必须点宝塔里对应 MySQL 实例的【重启】按钮，否则权限不生效
-
%风险极高，生产环境别用；至少配合宝塔【安全】→【MySQL(3306)】→【IP 白名单】功能限制来源
bind-address 必须改成 0.0.0.0 或删掉
即使用户权限开了，bind-address = 127.0.0.1 会让 MySQL 只监听本地回环，外部请求根本收不到。这是很多“权限改了还是连不上”的真正原因。
- 用宝塔【文件】打开
/www/server/mysql/etc/my.cnf - 搜索
bind-address，改成bind-address = 0.0.0.0（或直接删掉该行，MySQL 默认监听所有地址） - 确认配置中没有
skip-networking行；如有，必须注释掉或删除 - 保存后回到【软件商店】→ 找到 MySQL → 点【重启】
- 验证是否生效：SSH 执行
netstat -tlnp | grep :3306，看到0.0.0.0:3306或*:3306才算成功
宝塔防火墙和云安全组都得放行 3306
宝塔防火墙是系统层，云厂商安全组（阿里云/腾讯云等）是网络层，两者独立生效。只开一个，连接照样被拦在半路。
- 宝塔操作：【安全】→【防火墙】→【放行端口】→ 输入
3306，协议选TCP，点【放行】 - 云平台操作：去控制台 → 安全组 → 添加入方向规则 → 协议类型
TCP，端口范围3306/3306，源 IP 填具体 IP 或 CIDR 段（如203.0.113.0/24），**千万别填0.0.0.0/0** - Linux 系统级防火墙（如
firewalld）也可能干扰，可临时关闭测试：systemctl stop firewalld，通了再按需放行
Navicat 报错要先分清是哪一层挂了
错误信息不能直接当结论看。连不上 ≠ 配置错，得靠工具定位真实瓶颈。
-
Connection refused：大概率是端口不通，优先查云安全组和宝塔防火墙 -
Access denied：说明 TCP 已通，问题出在认证环节（用户 Host、密码、认证插件） - 测试端口是否真通：
telnet 你的服务器IP 3306或nc -zv 你的服务器IP 3306；能通才继续查 MySQL 层 - MySQL 8.0+ 默认用
caching_sha2_password插件，旧版 Navicat 或 PHP 可能不兼容，报错类似Client does not support authentication protocol，需手动切回mysql_native_password
最容易被忽略的是：云安全组和宝塔防火墙规则必须严格一致，且用户 Host 和 bind-address 修改后不重启服务就等于白改。别信“改完就能连”，每一步都要验证。
