MySQL 8.0如何配置允许所有IP远程连接？

Question

【常见技术问题】 在MySQL 8.0中，安装后默认仅监听本地（127.0.0.1），且root用户默认认证插件为`caching_sha2_password`，且host限制为`localhost`，导致远程客户端（如Navicat、Python应用）连接时频繁报错：“Host 'x.x.x.x' is not allowed to connect”或“Access denied for user 'root'@'x.x.x.x'”。此外，即使修改了user表host字段为'%'，仍可能因防火墙拦截、bind-address未放开、或密码认证方式不兼容而失败。如何安全、完整地配置MySQL 8.0允许指定网段或所有IP（0.0.0.0/0）远程访问？需同步考虑：① 创建具备远程权限的专用账户（非root）；② 正确更新mysql.user表host与authentication_string；③ 修改my.cnf中bind-address=0.0.0.0并重启服务；④ 开放Linux防火墙（如firewalld/ufw）3306端口；⑤ 验证SSL启用状态与客户端兼容性。遗漏任一环节均可能导致配置失效或安全隐患。

Answer 1

```html

一、现象层：远程连接失败的典型报错与表象归因

MySQL 8.0开箱即用后，远程客户端（Navicat/Python pymysql/Java JDBC）常遭遇两类核心错误：

• Host '192.168.5.23' is not allowed to connect to this MySQL server → 权限层阻断
• Access denied for user 'root'@'192.168.5.23' (using password: YES) → 认证层或网络层双重失效

表面看是“连不上”，实则可能叠加了网络监听限制、用户权限粒度、认证插件兼容性、系统级防火墙、SSL协商策略五重屏障。仅执行UPDATE mysql.user SET host='%' WHERE user='root'; FLUSH PRIVILEGES;几乎必然失败——这是五年以上DBA最常踩的“伪修复”陷阱。

二、架构层：MySQL 8.0远程访问的五维依赖模型

如下mermaid流程图揭示各组件间强耦合关系：

flowchart LR
A[客户端发起TCP 3306连接] --> B{Linux防火墙是否放行？}
B -- 否 --> Z[Connection refused]
B -- 是 --> C{MySQL bind-address=0.0.0.0？}
C -- 否 --> Z
C -- 是 --> D{mysql.user中host匹配且plugin兼容？}
D -- 否 --> Y[Access denied]
D -- 是 --> E{SSL mode协商成功？}
E -- 否且require_secure_transport=ON --> Y
E -- 是或配置允许非SSL --> X[Success]

三、操作层：安全启用远程访问的标准化七步法

1. 确认MySQL监听地址：sudo grep -i "bind-address" /etc/mysql/mysql.conf.d/mysqld.cnf，确保为bind-address = 0.0.0.0或注释掉该行（默认监听所有接口）
2. 重启服务并验证端口绑定：sudo systemctl restart mysql && sudo ss -tlnp | grep :3306，输出应含*:3306
3. 创建最小权限专用账户（严禁root远程）：
   CREATE USER 'app_admin'@'192.168.5.%' IDENTIFIED WITH caching_sha2_password BY 'StrongPass!2024';
4. 授予权限并刷新：GRANT SELECT,INSERT,UPDATE ON myapp.* TO 'app_admin'@'192.168.5.%'; FLUSH PRIVILEGES;
5. 检查并加固认证插件：MySQL 8.0默认caching_sha2_password，但旧版客户端需显式支持；如需兼容，可改用mysql_native_password（不推荐生产环境）
6. 开放系统防火墙（以firewalld为例）：sudo firewall-cmd --permanent --add-port=3306/tcp && sudo firewall-cmd --reload
7. 强制SSL策略评估：执行SHOW VARIABLES LIKE 'require_secure_transport';，若为ON，则客户端必须启用SSL；否则需配置ssl-mode=REQUIRED在连接字符串中

四、验证层：多维度连通性诊断清单

检查项	验证命令/方法	预期结果
网络可达性	telnet your-server-ip 3306	Connected to ... 或 Escape character is '^]'
用户host匹配精度	SELECT user,host,plugin,account_locked FROM mysql.user WHERE user='app_admin';	host列显示192.168.5.%，plugin为caching_sha2_password
SSL配置状态	SHOW VARIABLES LIKE '%ssl%';	have_ssl=DISABLED 或 YES；ssl_mode=REQUIRED需与客户端一致

五、加固层：超越基础配置的生产级安全实践

真正的安全不是“能连上”，而是“可控地连上”：

• 使用ipset或iptables实现IP白名单（比user@'192.168.5.%'更细粒度）
• 为每个应用分配独立账号+独立数据库+独立IP段，遵循最小权限原则
• 启用MySQL Enterprise Firewall（社区版可用mysql_firewall插件）拦截异常SQL模式
• 通过my.cnf设置max_connect_errors=3和connect_timeout=10防暴力探测
• 定期轮换密码并审计mysql.general_log中的远程连接源IP

切记：bind-address=0.0.0.0本身不构成风险，风险源于未收敛的权限模型与缺失的网络边界控制。

```