必须用SSH隧道将远程MySQL端口映射到本地再备份，因直连常被防火墙或bind_address拦截；隧道命令须写127.0.0.1而非localhost，mysqldump需指定-h 127.0.0.1 -P端口并加--single-transaction和--compress。
不能用 mysqldump -h remote-ip -P 3306 直连跨机房 MySQL，绝大多数情况下会卡在连接阶段——不是密码错，是网络层被防火墙、安全组或 bind_address 拦死。真正可行且生产级安全的做法，是用 SSH 隧道把远程 MySQL 的 3306 “悄悄拉到本地”，再让 mysqldump 当作本地库来连。
ssh -L 隧道命令里地址写错会导致连接失败
常见错误是写成 ssh -L 3307:localhost:3306 user@remote-host，看起来顺眼，但实际在远程机器上 localhost 可能解析失败（尤其启用了 skip-name-resolve 时）。必须明确写成 127.0.0.1：
ssh -L 3307:127.0.0.1:3306 user@remote-host -N -o ExitOnForwardFailure=yes -o ConnectTimeout=10- 如果远程 MySQL 实际监听的是内网 IP（如
10.0.1.5:3306），这里也得同步改成10.0.1.5:3306 - 执行后立刻用
lsof -i :3307或netstat -an | grep 3307确认本地端口是否真在 LISTEN - 别依赖
-f后台运行——脚本里一旦隧道没建成就跑mysqldump，结果就是 ERROR 2003
mysqldump 必须加 --single-transaction 且指定 -h 127.0.0.1
隧道只转发 TCP 流量，mysqldump 如果连 localhost，默认走 socket 文件，根本进不了隧道。必须强制走 TCP：
- 用
-h 127.0.0.1 -P 3307，而不是-h localhost -
--single-transaction对 InnoDB 表生效，保证备份一致性；MyISAM 表仍会锁表，得提前确认存储引擎 - 大库建议加
--compress，减少跨机房传输体积；若网络抖动明显，再加--timeout=300 - 密码别写在命令行里——
ps aux能直接看到；改用mysql_config_editor存凭据：mysql_config_editor set --login-path=remote --host=127.0.0.1 --port=3307 --user=dbuser --password
自动化脚本里 kill 隧道和错误退出必须配对
单次备份脚本最怕隧道残留或半途失败导致后续执行报 bind: Address already in use：
- 用
$!捕获 SSH 进程 PID，而不是依赖kill %1（子 shell 下不可靠） - 必须用
set -e，任何命令失败立即退出，避免mysqldump出错后还继续kill - 结尾加
trap 'kill $pid 2>/dev/null' EXIT，确保无论成功失败，隧道进程都被清理 - 备份文件名务必带时间戳：
backup_$(date +\%Y\%m\%d_\%H\%M).sql，否则多任务并发会覆盖
跨机房场景下，SSH 隧道的稳定性比参数更关键：NAT 设备常静默断连，得同时加 -o ServerAliveInterval=30 -o TCPKeepAlive=yes；而真正容易被忽略的是 MySQL 用户权限——它必须是 dbuser@127.0.0.1，不是 dbuser@localhost，因为隧道进来的是 TCP 连接，不匹配 socket 认证规则。
