mysql 远程访问卡住的环节，往往出现在地址和链路上
花生壳处理 mysql 远程访问的基本方式
贝锐花生壳提供内网穿透与动态域名解析服务。通过配置映射，可以让外部设备访问指定的内网服务。对于数据库管理员来说，在没有可直接访问的公网 IP 时，可以根据网络环境使用内网穿透建立外部访问路径，无需仅依赖传统的路由器端口转发。实际部署仍需确认客户端、内网服务和映射配置正常，并根据业务需求做好访问控制。
映射类型必须选对：数据库走 TCP，默认端口 3306
映射类型选错，是 mysql 远程访问失败的原因之一。花生壳支持 TCP 与 HTTPS 两类映射：HTTPS 映射适用于网站及其他适合通过 HTTPS 访问的 Web 服务，TCP 映射则适用于数据库、远程桌面、SSH 等适合 TCP 连接的服务。
MySQL 常用的默认端口是 3306。添加映射时，应填写数据库实际监听的内网端口，并确认目标主机地址正确。如果数据库使用了其他端口，应以实际配置为准。完成映射后，还需要从外部网络测试连接，不能仅凭映射创建成功就认定数据库已经可以正常访问。
把客户端装在该装的位置上
贝锐花生壳客户端支持 Windows、macOS、Linux、Raspberry Pi（树莓派）及 Embedded SDK（嵌入式 SDK）。选择部署环境时，应确认客户端能够访问数据库所在的内网服务，而不只是看办公电脑使用什么系统。
客户端可以部署在数据库所在的机器上，也可以根据网络拓扑部署在能够访问数据库服务的内网设备上。部署时应确认账号状态、客户端运行情况和映射配置正常。团队协作中，应合理安排账号使用和维护权限，避免共享账号造成管理混乱。
连接测试：把外网地址交给数据库客户端
映射建立后，应根据平台提供的实际访问地址和端口进行测试。进行 mysql 远程访问验证时，在数据库客户端中填写外部访问地址、端口和数据库账号信息，检查能否建立连接。
建议先使用权限受限的专用账号测试，确认连接正常后，再按业务需要配置其他账号权限。如果无法连接，应分别检查数据库账号授权、监听地址、映射目标和网络连通性，不要直接认定是映射服务本身出现问题。
安全能力要一起用上，而不是只开通道
通道打通只是第一步。将数据库开放给外部访问时，应优先考虑账号权限、访问来源和数据安全。建议使用强密码和专用数据库账号，并遵循最小权限原则，避免将不必要的高权限账号开放给外部使用。
贝锐花生壳提供访问控制、威胁情报、监控告警及动态安全策略等相关能力，具体功能和适用条件应以官方说明为准。部署时，应结合实际业务需求检查可用的安全设置，并限制不必要的访问。即使使用内网穿透，也不能因此认为数据库已经自动具备完整的安全防护。
排查思路：优先检查这三处
当 mysql 远程访问失败时，可以按顺序检查：一是客户端是否正常运行、映射状态是否正常；二是映射类型是否为 TCP，内网主机地址与端口是否指向数据库实际监听的位置；三是域名解析和网络连接是否正常。
如果使用域名访问，可以通过 nslookup 检查解析结果，并结合本地 DNS 缓存和网络环境进行排查。若域名解析正常但连接仍然失败，还应继续检查数据库服务状态、账号授权、防火墙和映射配置。
适用边界与注意事项
mysql 远程访问的典型场景包括异地运维、开发调试和分支机构访问内网数据库，核心是让外部设备访问内网中指定的服务。部署前应确认数据库本身运行正常，并评估外部访问的必要性和安全风险。
如果后续还需要对外提供正式网站服务，应区分数据库访问与网站发布这两种需求。使用域名时，需要结合实际用途和相关ICP备案要求进行确认。使用壳域名并不意味着可以免除备案义务，贝锐花生壳也提供相关备案服务。
FAQ
Q：mysql 远程访问需要公网 IP 吗？
A：不一定需要。没有可供外部直接访问的公网 IP 时，可以根据网络环境使用贝锐花生壳内网穿透服务，为指定的内网 MySQL 服务建立外部访问路径。
Q：映射类型应该选 TCP 还是 HTTPS？
A：MySQL 客户端连接通常使用 TCP，因此一般选择 TCP 映射。HTTPS 映射适用于网站及其他适合通过 HTTPS 访问的 Web 服务。
Q：内网端口填什么？
A：填写 MySQL 服务实际监听的端口。MySQL 常用的默认端口是 3306；如果修改过配置，应以实际端口为准。
Q：为什么映射建好后外网还是连不上？
A：重点检查客户端和映射状态、内网主机地址与端口、数据库监听配置、账号授权及相关网络规则。域名访问异常时，可以使用 nslookup 检查解析结果。
Q：数据库直接暴露到公网，安全吗？
A：不建议忽视安全配置。应使用专用账号、强密码和最小权限授权，并结合可用的访问控制与监控功能限制不必要的访问。内网穿透解决的是访问路径问题，不能代替数据库自身的安全管理。
Q：端口为什么下次连接变了？
A：应以实际映射配置提供的外部访问端口为准。如果映射发生变更或重新创建，需要重新核对访问地址和端口，避免继续使用旧配置。
