Connection reset 表明腾讯云CDB服务端主动拒绝连接，主因是SSL未启用或证书路径错误、安全组与白名单未双重放行、或认证插件不兼容（如caching_sha2_password）；需勾选Use SSL并指定rds-ca-bundle.pem、检查出口IP是否同时加入白名单与安全组规则、必要时切换认证方式为mysql_native_password。
连接重置（connection reset）不是 navicat 自身报错，而是 tcp 层面被对端主动 rst，说明数据库服务端明确拒绝了当前连接请求。对腾讯云 cdb 来说，这基本可锁定为「网络通但协议/认证层被拦截」，和 dns 解析失败、ssl 不匹配、权限不足三者强相关。
检查是否因 SSL 配置不一致触发 RST
腾讯云 CDB 默认强制 SSL 连接，而 Navicat 17+ 新建连接时 Use SSL 默认关闭。若服务端要求 SSL 但客户端未启用，MySQL 协议握手阶段就会被服务端直接 RST，现象就是 Navicat 卡在“正在连接…”后弹出“Connection reset by peer”或静默断开。
- 打开连接设置 → 「高级」选项卡 → 勾选
Use SSL -
SSL CA File必须填入腾讯云控制台下载的rds-ca-bundle.pem（路径不能含中文或空格） - 若已勾选但仍 RST，用终端验证：
mysql -h cdb-xxx.tencentyun.com -P 3306 -u root -p --ssl-mode=REQUIRED --ssl-ca=/path/to/rds-ca-bundle.pem；失败则说明证书路径、权限或服务端策略有问题
确认安全组与白名单是否放行且精准匹配
“连接重置”常被误判为网络不通，但 telnet cdb-xxx.tencentyun.com 3306 能通就排除了防火墙完全拦截，问题大概率出在腾讯云 CDB 的访问控制粒度上：它不只看 IP 白名单，还校验来源 IP 是否在安全组入站规则 + 数据库白名单双重覆盖范围内。
- 进 CDB 控制台 → 实例详情 → 「安全组」→ 确认绑定的安全组有入站规则：
TCP:3306，源 IP 填你实际出口 IP（不是跳板机内网 IP） - 同一页面 → 「白名单」→ 添加你的公网 IP（
xx.xx.xx.xx），不能写0.0.0.0/0（部分 CDB 实例默认禁用） - 若通过跳板机连接，白名单必须填跳板机的公网出口 IP，而非跳板机内网 IP；且跳板机自身防火墙（如
ufw或iptables）也要放行 3306 出站
排查 MySQL 认证插件与用户权限冲突
腾讯云 CDB 5.7+ 默认使用 caching_sha2_password 插件，而旧版 Navicat（尤其 15 及以下）不支持该插件，尝试握手时服务端会直接 RST，错误日志里可能看不到明文提示。
- 用命令行连接验证：
mysql -h cdb-xxx.tencentyun.com -P 3306 -u root -p -v，观察是否卡在Authentication plugin 'caching_sha2_password' cannot be loaded - 若确认是插件问题，需在 CDB 控制台 → 「账号管理」中，将对应用户认证方式改为
mysql_native_password（部分 CDB 版本支持切换） - 或改用 Navicat 16+，其已内置兼容逻辑；但即使新版，也要确保连接设置里没误勾
Use SSL后又漏配证书——SSL + 错误插件组合是最常见的 RST 组合
真正容易被忽略的是：CDB 的「白名单」和「安全组」是两个独立开关，缺一不可；且白名单只认公网 IP，哪怕你用内网 DNS 解析到内网 IP，只要白名单没加对应公网出口 IP，照样 RST。别信“nslookup 成功就等于能连”，DNS 解析成功只是第一步，后面每层校验都可能扔一个 RST 回来。
