本地可连接Docker MySQL容器，服务器端无法连接的问题排查

核心原因 #

Cloudflare默认反向代理仅处理HTTP/HTTPS流量，而MySQL使用原生TCP协议。直接将8443（Cloudflare默认HTTPS端口）映射到MySQL的3306端口会导致协议不兼容，触发「Lost connection to MySQL server at 'reading initial communication packet'」错误。此外，服务器端口策略、MySQL绑定配置、用户权限也可能影响连接。

解决方案 #

1. 用Cloudflare Tunnel代理TCP流量（推荐，无需开放公网端口） #

Cloudflare Tunnel可安全转发TCP流量，无需暴露服务器端口：

• 在服务器上安装Cloudflare Tunnel客户端（cloudflared）
• 创建隧道并配置MySQL服务：

  cloudflared tunnel create mysql-tunnel
  cloudflared tunnel route mysql mysql-tunnel example.com:3306
  

• 编写config.yml配置文件：

  tunnel: <你的隧道ID>
  credentials-file: /root/.cloudflared/<隧道ID>.json
  ingress:
    - hostname: example.com
      service: tcp://localhost:3306
    - service: http_status:404
  

• 启动隧道：

  cloudflared tunnel run mysql-tunnel
  

• 连接时使用example.com:3306即可

2. 启用Cloudflare Spectrum（需付费） #

如果使用Cloudflare Spectrum（支持TCP/UDP代理）：

• 在Cloudflare控制台开启Spectrum，添加TCP应用，将公网端口（如8443）映射到服务器3306端口
• 服务器防火墙允许Cloudflare IP段访问3306端口
• 连接地址为example.com:8443

3. 检查MySQL绑定地址与用户权限 #

• 确认MySQL容器内bind-address设为0.0.0.0（官方MySQL 8.0镜像默认已配置，可进入容器查看/etc/mysql/my.cnf）
• 给root用户授权远程访问：
  进入容器执行：

  GRANT ALL PRIVILEGES ON *.* TO 'root'@'%' IDENTIFIED BY 'password' WITH GRANT OPTION;
  FLUSH PRIVILEGES;
  

4. 服务器端口与防火墙配置（不通过Cloudflare代理的情况） #

• 开放服务器3306端口（以ufw为例）：

  ufw allow 3306/tcp
  

• Docker运行命令指定绑定所有网卡：

  docker run -d -v db-data:/var/lib/mysql -p 0.0.0.0:3306:3306 mysql-db
  

验证步骤 #

1. 服务器本地测试：mysql -h 127.0.0.1 -P 3306 -u root -p，确认容器内MySQL正常运行
2. 公网IP直接测试：mysql -h <服务器公网IP> -P 3306 -u root -p，确认防火墙与端口映射正常
3. 再通过Cloudflare配置后的地址连接，验证修复效果

内容的提问来源于stack exchange，提问作者Dylan