通过Cloud SQL Auth代理连接GCP Cloud SQL时MySQL Workbench连接超时

排查解决步骤 #

1. 验证Cloud SQL Auth代理启动配置 #

• 确认启动代理时指定的实例连接名格式完全正确，必须为项目ID:区域:实例名，不能出现拼写错误、区域错配（比如实例实际部署在us-central1就不能写成us-east1）
• 确认代理监听端口无占用：代理默认监听3306端口，如果本地有其他MySQL服务占用该端口，启动时需加参数--port=3307自定义端口，同时MySQL Workbench的连接配置端口也要同步修改
• 查看代理启动终端输出，确认存在Ready for new connections提示，无报错信息

2. 排除本地客户端&连通性问题 #

• 先绕过MySQL Workbench，用命令行工具测试连接：安装MySQL客户端后执行mysql -u 数据库用户名 -h 127.0.0.1 -P 代理监听端口 -p，输入密码后验证是否能正常连接，若命令行也无法连接可直接排除Workbench配置问题
• 测试本地到代理端口的连通性：执行telnet 127.0.0.1 代理监听端口，如果telnet无法建立连接，说明代理未正常启动或端口被本地规则拦截

3. Cloud SQL实例侧配置校验 #

• 确认实例网络模式：如果你的Cloud SQL实例使用私网IP，本地设备未接入实例所在VPC的情况下，即使加白名单、启动代理也无法连接，需确认实例已开启公网访问
• 确认白名单配置正确：你添加的本地IP必须是公网出口IP（可通过公网搜索「我的IP」获取），不能填内网IP，授权网络掩码需设置为/32
• 确认Cloud SQL实例状态为正常运行，无维护、暂停等异常状态

4. 代理鉴权逻辑排查 #

• 如果你使用个人账号鉴权，确认本地已通过gcloud auth application-default login生成了默认鉴权凭证，代理会自动读取该凭证完成鉴权
• 如果你使用服务账号密钥鉴权，确认启动代理时--credentials-file参数指向的密钥文件路径正确，密钥未过期、对应服务账号持有Cloud SQL客户端权限

如果以上步骤全部排查完成仍出现超时，可临时关闭本地防火墙、杀毒软件重试，部分本地安全规则会拦截3306端口的出站请求。

内容的提问来源于stack exchange，提问作者dasdasd