SSH本地端口转发可安全将远程MySQL 3306端口加密映射至本地（如3307），命令为ssh -L 3307:127.0.0.1:3306 user@host -N -f；连接时须用mysql -h 127.0.0.1 -P 3307，避免localhost走socket绕过隧道。
直接用 SSH 本地端口转发，就能把远程数据库（比如 MySQL 的 3306）安全映射到你本地机器上，全程加密、不暴露数据库真实端口，也不用改防火墙策略。
本地端口转发命令写法
核心命令结构是：ssh -L [本地端口]:[数据库所在主机]:[数据库端口] [用户名]@[SSH服务器地址]
常见组合示例：
- 远程数据库和 SSH 服务在同一台机器上（最常见）：
ssh -L 3307:localhost:3306 user@192.168.1.100 -N -f
执行后，本地 3307 端口就等价于远程那台机器上的 3306 数据库。 - 数据库在内网另一台机器（如跳板机后）：
ssh -L 3307:10.0.2.5:3306 user@gateway.example.com -N -f
意思是：通过 gateway 登录后，把内网 10.0.2.5 的 3306 映射到本地 3307。
参数说明：
-N 表示不执行远程命令，只做端口转发；
-f 让 SSH 在后台运行；
localhost 在远程端要写对——如果数据库就在 SSH 登录的那台机器上，必须写 localhost 或 127.0.0.1，不能写公网 IP，否则可能连不上（MySQL 绑定限制）。
连接前确认几件事
避免连不上，提前检查：
- 远程数据库是否监听 127.0.0.1:3306（或 localhost:3306），而不是仅绑定在内网 IP 或 0.0.0.0 —— 否则 SSH 转发时无法访问；
- 远程 MySQL 用户的 host 字段需允许从 localhost 连接（例如
'user'@'localhost'），因为转发后，数据库看到的是来自本机（即 SSH 服务端）的连接； - 本地没被占用的端口（比如 3307），可用
lsof -i :3307或ss -tuln | grep 3307检查。
本地怎么用？
转发建立后，数据库就像跑在你本地一样：
- 命令行连接：
mysql -h 127.0.0.1 -P 3307 -u root -p
注意一定要用 127.0.0.1，不能用 localhost（否则 MySQL 客户端会走 socket 文件，绕过 TCP 转发）； - GUI 工具（如 DBeaver、Navicat）：主机填 127.0.0.1，端口填你设的本地端口（如 3307），用户名密码用数据库本身的，不是 SSH 的；
- 应用配置（如 Spring Boot）：把
spring.datasource.url改成jdbc:mysql://127.0.0.1:3307/dbname即可。
增强稳定性和安全性
日常使用建议加几个实用选项：
- -C：启用压缩，对慢网络更友好；
- -o ServerAliveInterval=60：每 60 秒发心跳，防连接意外断开；
- 配合密钥登录（不用每次输密码）：提前用
ssh-copy-id部署好公钥； - 如需让局域网其他设备也能用这个转发（比如同事连你电脑的 3307），加 -g 参数，并确保远程 SSH 服务开启了
GatewayPorts yes（修改/etc/ssh/sshd_config后重启 sshd）。
