MySQL远程访问指定IP用户连接失败，寻求更安全替代方案

首先，咱们先搞清楚你为什么指定IP还是连接失败：你用的123.456.789.012应该是家里路由器分配的内网虚拟IP，但MySQL服务器识别到的是你家网络的公网出口IP（就是报错里的XXX-XXX-XXX-XX-XX.abc.defg.hi.jk对应的实际IP），所以用户权限里的IP和实际连接的IP不匹配，自然被拒绝了。

下面给你几个逐步进阶的安全方案，从简单到最高安全级别：

方案1：匹配实际公网IP创建用户（基础安全） #

1. 获取你的实际公网IP：
   • 直接解析报错里的Host字段域名，比如在终端执行nslookup XXX-XXX-XXX-XX-XX.abc.defg.hi.jk就能得到对应IP；
   • 或者在家用电脑上直接搜索"我的公网IP"，就能看到当前网络的出口IP。
2. 创建精准匹配的MySQL用户：

   -- 先清理之前的错误配置用户
   DROP USER IF EXISTS 'myusername'@'123.456.789.012';
   -- 创建匹配实际公网IP的用户
   CREATE USER 'myusername'@'你的实际公网IP' IDENTIFIED BY 'some_pass';
   -- 只授予必要权限（别直接给ALL，比如只开放你需要操作的数据库）
   GRANT SELECT, INSERT, UPDATE ON your_target_db.* TO 'myusername'@'你的实际公网IP';
   -- 刷新权限让配置生效
   FLUSH PRIVILEGES;
   

3. 动态IP适配：如果你的家庭公网IP是动态变化的，可联系ISP确认你的IP分配段，用段匹配创建用户，比如CREATE USER 'myusername'@'111.222.33.%' IDENTIFIED BY 'some_pass';，这样同一段的IP都能访问，安全性远高于@'%'。

方案2：SSH隧道（推荐，最高安全级别） #

这个方法不需要把MySQL的3306端口暴露在公网，所有流量通过SSH加密传输，完全避免了MySQL直接面对互联网风险，是最稳妥的远程访问方式：

1. 在MySQL Workbench配置SSH隧道连接：
   • 新建连接时，选择连接类型为Standard TCP/IP over SSH；
   • SSH Hostname：填写办公室服务器的公网IP+SSH端口（默认是22，比如XXX.XX.XX.XXX:22，建议改个非默认端口比如2222来减少暴力破解）；
   • SSH Username：填写办公室服务器的系统用户（推荐用普通权限用户，别直接用root）；
   • SSH验证方式：优先用SSH密钥（把家用电脑的公钥放到服务器的~/.ssh/authorized_keys里），比密码更安全；
   • MySQL Hostname：填127.0.0.1（因为SSH隧道会把本地端口映射到远程服务器的本地3306端口）；
   • MySQL Username：用服务器上的本地用户（比如'myusername'@'localhost'，不需要创建远程IP的用户）；
   • 填写密码后测试连接即可。
2. 额外安全优化：
   • 禁用SSH密码登录，只允许密钥登录；
   • 用防火墙限制只有你的公网IP能访问SSH端口。

方案3：防火墙+MySQL绑定（双重防护） #

如果一定要直接开放3306端口，可以搭配服务器防火墙做双重限制：

1. 修改MySQL配置：在my.cnf（或my.ini）里设置bind-address = 办公室服务器的内网IP，让MySQL只监听内网，不直接暴露在公网；
2. 配置服务器防火墙：比如用ufw（Ubuntu/Debian）或firewalld（CentOS/RHEL），只允许你的公网IP访问3306端口：

   # ufw示例：允许指定IP访问3306
   ufw allow from 你的公网IP to any port 3306
   ufw enable
   

3. 创建MySQL用户：此时就算用@'%'，其他IP也会被防火墙拦截，安全性大幅提升，但还是不如SSH隧道稳妥。

最后提醒：不管用哪个方案，都要遵循最小权限原则——只给用户需要的数据库操作权限，别随便授予ALL PRIVILEGES；定期更换密码；如果用密钥登录，一定要妥善保管私钥，别泄露给他人。

内容的提问来源于stack exchange，提问作者Herbert