根本原因是MySQL默认bind-address=127.0.0.1，仅监听本地；需改为0.0.0.0并重启服务，再用netstat或ss确认监听*:3306，同时检查防火墙、安全组及用户权限'username'@'%'。
根本原因不是“ping不通端口”，而是你混淆了 ping 和端口连通性的概念：ping 走的是 ICMP 协议，3306 是 TCP 端口，ICMP 被禁用或丢弃完全不影响 MySQL 服务本身是否可连——真正该测的是 telnet 或 nc，不是 ping。
为什么 telnet {IP} 3306 失败？先看监听地址
MySQL 默认只监听 127.0.0.1:3306，这意味着它拒绝一切来自本机以外的 TCP 连接请求。即使防火墙全开、安全组放行，只要 bind-address 没改，telnet 就必然超时或拒绝连接。
- 执行
netstat -tuln | grep :3306，若输出中 host 列是127.0.0.1:3306或::1:3306，说明配置未生效 - 正确监听应为
0.0.0.0:3306（IPv4）或*:3306（部分系统显示），表示接受任意 IP 的连接 - MySQL 8.0+ 配置文件里可能压根没写
bind-address，需手动在[mysqld]段下添加bind-address = 0.0.0.0 - 改完配置必须重启服务：
sudo systemctl restart mysql，否则 netstat 看到的仍是旧状态
防火墙开了 3306，为什么还是连不上？
Linux 发行版默认防火墙策略不同，命令不通用，且容易漏掉「永久生效」这一步。
- Ubuntu/Debian 用
ufw：sudo ufw allow 3306/tcp（注意加/tcp，仅写3306可能不生效） - CentOS/RHEL 7+ 用
firewalld：sudo firewall-cmd --permanent --add-port=3306/tcp+sudo firewall-cmd --reload - 老 CentOS 6 或自定义 iptables：需确认规则插入位置，
iptables -I INPUT -p tcp --dport 3306 -j ACCEPT比-A更可靠（避免被后续 DROP 规则拦截） - 云服务器（阿里云、腾讯云等）必须额外检查「安全组」——它独立于系统防火墙，且优先级更高
Docker 部署的 MySQL 外网连不上？端口映射和 bind-address 都要设
Docker 容器默认网络隔离，不暴露端口就等于对外不可见；即使加了 -p 3306:3306，如果容器内 MySQL 自己还绑着 127.0.0.1，照样连不上。
- 启动命令必须同时满足两个条件：
docker run -d -p 3306:3306 -e MYSQL_ROOT_PASSWORD=xxx mysql:8.0 - 但仅这样不够：MySQL 容器内部仍读取自己的配置。需挂载自定义配置文件，或通过
--command覆盖启动参数，确保容器内 mysqld 启动时带--bind-address=0.0.0.0 - 验证方式：进容器执行
docker exec -it mysql-container netstat -tuln | grep :3306，确认监听的是0.0.0.0:3306，而非127.0.0.1:3306
最容易被忽略的点是：MySQL 用户权限和 bind-address 是两回事。就算你把 bind-address 改对了、防火墙也放行了，如果用户是 'root'@'localhost'，远程客户端仍会收到 Access denied for user ——这个错误常被误判为网络问题，其实连 MySQL 进程都没真正触达。
