多网卡环境MySQL绑定IP配置方法

MySQL 默认会将监听地址设置为 0.0.0.0，在多网卡服务器环境中，这个配置意味着服务器上所有的 IP 地址——包括公网 IP、内网 IP 以及测试网段的 IP——都会被完全暴露在外。问题的核心不在于“能否连接”，而在于“任何来源都能尝试连接”。因此，必须显式地对监听地址加以限制，仅绑定业务实际需要的那个 IP。 下面梳理几个关键原则：`bind-address` 必须设置为明确的单一 IP 地址；防火墙需要针对不同网卡和来源 IP 制定精细的放行规则；数据库用户的权限也必须严格按照来源主机进行控制。这三项措施缺一不可。 首先，确认 MySQL 当前正在监听的地址和端口。不要仅仅依赖配置文件就认为一切正常，实际状态必须通过命令来查看。 执行 `ss -tlnp | grep :3306` 或 `netstat -tuln | grep :3306`，重点关注输出结果中的第二列（Local Address:Port）。如果看到 `*:3306`，说明 MySQL 正在监听所有 IPv4 地址，这是最危险的情形；`127.0.0.1:3306` 表示仅允许本地连接；`192.168.209.121:3306` 才是正确绑定到了某张特定网卡。如果还出现了 `:::3306`，那是 IPv6 在起作用，`bind-address` 对 IPv6 无效，需要单独处理。 接下来，修改 `my.cnf` 或 `my.ini` 中的 `bind-address` 参数。这是核心开关，但它有一个关键限制：不支持逗号分隔的多个 IP。很多人试图写成 `bind-address = 127.0.0.1,192.168.1.100`，结果要么 MySQL 启动失败，要么默默忽略后半部分。正确的做法是只填写一个 IPv4 地址，例如 `bind-address = 192.168.209.121`。如果还需要本地管理连接，可以单独设置 `127.0.0.1`，同时保持 `skip-networking = OFF`（默认就是关闭状态）。IPv6 需要单独控制，MySQL 5.7 及以上版本支持 `bind-address = ::1`（仅限本地 IPv6），但无法同时处理 IPv4 和 IPv6；如果两者都需要兼顾，只能设置 `0.0.0.0` 并依靠防火墙兜底——这个方案不太推荐。WAMP 用户需注意，`my.ini` 的路径通常位于 `WAMP\bin\mysql\mysqlX.X.X\my.ini`，修改后务必重启服务，仅重载是无效的。 MySQL 本身不支持多 IP 绑定，因此需要借助防火墙来弥补这一不足。所谓“多网卡绑定”的本质，是让 MySQL 只监听一个安全的 IP（例如内网网卡），再通过防火墙规则决定哪些来源可以访问该端口。例如，将 MySQL 绑定到 `192.168.209.121`，但希望另一台内网机器 `192.168.209.50` 也能连接 3306 端口，直接在防火墙上放行即可，无需修改 MySQL 配置。禁止公网访问 3306 的最简命令是 `iptables -A INPUT -i eth0 -p tcp --dport 3306 -j DROP`（假设 eth0 为公网网卡）。更精细的做法是按源 IP 段放行：`iptables -A INPUT -s 192.168.209.0/24 -p tcp --dport 3306 -j ACCEPT`，然后 `iptables -P INPUT DROP`。执行完毕后，务必运行 `iptables -L -n -v` 确认规则已加载，并且计数器在增长。 用户权限才是跨网卡访问的最终关卡。即使 MySQL 已经绑定到某个 IP，如果在创建用户时未指定来源主机，仍然无法连接。权限的粒度比绑定更细。错误示范是 `CREATE USER 'app'@'%' IDENTIFIED BY 'pwd';`——这里的 `%` 允许任意 IP，但前提是 MySQL 本身必须监听该 IP。正确的做法是：`CREATE USER 'app'@'192.168.209.50' IDENTIFIED BY 'pwd';` 或者 `CREATE USER 'app'@'192.168.209.%' IDENTIFIED BY 'pwd';`。然后执行 `GRANT SELECT ON mydb.* TO 'app'@'192.168.209.50'; FLUSH PRIVILEGES;` 才算真正生效。另外，MySQL 8.0 默认启用 `caching_sha2_password` 插件，部分旧客户端可能不兼容，必要时可加上 `IDENTIFIED WITH mysql_native_password`。 真正容易被忽略的是：修改 `bind-address` 后没有通过 `ss` 输出验证，也没有检查用户表中的 `host` 字段是否与实际来源 IP 匹配。这两步只要缺少一步，就会导致“配置明明写了，却死活连不上”的尴尬局面。