MySQL无法远程连接3306的首要原因是bind-address=127.0.0.1导致仅监听本地，需改为0.0.0.0并重启服务，再通过ss或netstat确认监听0.0.0.0:3306，同时确保用户host为%或对应网段、防火墙及云安全组放行3306端口。
MySQL 安装完无法远程连 3306，90% 的情况不是端口没开，而是 bind-address 锁死了监听范围或用户 host 字段不匹配。
确认 mysqld 实际监听的地址和端口
远程连不上，第一步不是改权限、不是开防火墙，而是看 MySQL 服务到底在听谁。如果它只监听 127.0.0.1:3306，那从其他机器 telnet 都会失败——哪怕防火墙全放行也没用。
- 执行
ss -tlnp | grep :3306或netstat -tuln | grep :3306 - 输出中若显示
127.0.0.1:3306，说明只接受本地连接；0.0.0.0:3306或:::3306才表示对外可用 - 注意：修改配置后必须重启服务，
systemctl restart mysql（或mysqld）才生效 - 别凭感觉改错配置文件——用
mysql --help | grep "Default options" -A 10查清 MySQL 实际加载的是哪个my.cnf
检查并修正 bind-address 配置
bind-address 是硬性开关，它决定 mysqld 进程是否愿意接收非本机来的 TCP 包。默认值因发行版而异，Ubuntu/Debian 常设为 127.0.0.1，CentOS 可能为空（等价于 0.0.0.0），但只要显式写了 127.0.0.1 就必须改。
- 编辑实际生效的配置文件（常见路径：
/etc/mysql/mysql.conf.d/mysqld.cnf或/etc/my.cnf） - 在
[mysqld]段下确保有：bind-address = 0.0.0.0 - 可选但推荐加：
skip-name-resolve，避免反向 DNS 解析失败拖慢或阻断连接 - 切勿写成
bind-address = *或bind-address = localhost，这些写法无效或被忽略
验证用户 host 权限是否允许远程来源
即使监听开了，MySQL 还会在认证阶段核验用户记录里的 host 字段。如果创建用户时用的是 'root'@'localhost'，那从任何远程 IP 连都会报 Host 'x.x.x.x' is not allowed to connect。
- 登录 MySQL 后执行：
SELECT host, user FROM mysql.user; - 看到
root对应的host是localhost？那就得新增或修改一条记录 - 安全做法（推荐）：
CREATE USER 'appuser'@'192.168.1.%' IDENTIFIED BY 'strong_pass'; GRANT SELECT,INSERT ON mydb.* TO 'appuser'@'192.168.1.%'; - 临时调试可用：
GRANT ALL ON *.* TO 'root'@'%' IDENTIFIED BY 'your_pwd' WITH GRANT OPTION;，但生产环境禁用'%' - 改完务必执行：
FLUSH PRIVILEGES;
绕过中间链路干扰：先本地 telnet 再逐层放开
别一上来就从办公室电脑试连云服务器。先缩小排查范围，把网络、防火墙、安全组这些“外部因素”暂时隔离。
- 在数据库服务器本机执行：
telnet 127.0.0.1 3306→ 应该成功（验证 mysqld 确实运行且端口就绪） - 再执行：
telnet $(hostname -I | awk '{print $1}') 3306→ 若失败，基本锁定是bind-address或防火墙问题 - 确认系统防火墙状态：
ufw status（Ubuntu）或firewall-cmd --list-ports（CentOS） - 云服务器必须额外检查控制台里的安全组——
3306/tcp入方向规则缺一不可
最容易被跳过的其实是配置文件加载顺序和 FLUSH PRIVILEGES 这一步。改完 my.cnf 不重启、改完用户不刷权限，所有操作都等于没做。
