怎样在Navicat中通过SSH隧道安全连接云服务器MySQL80

Navicat SSH隧道连接90%失败源于三处：未勾选“使用SSH隧道”、常规页主机误填公网IP（应填127.0.0.1）、MySQL未监听127.0.0.1；隧道仅在双击连接时建立，非配置即启用，且MySQL 8.0+必须显式配置bind-address=127.0.0.1方可响应隧道内连接。

能连上，但90%失败都卡在三个地方：SSH页填了服务器信息却没勾“使用SSH隧道”、常规页主机填错成公网IP、MySQL服务没监听127.0.0.1。

Navicat里必须勾选“使用SSH隧道”才真正建隧道

很多人配完SSH页就点“测试连接”，结果报错Cant connect to MySQL server on 127.0.0.1——这不是MySQL问题，是Navicat根本没启动隧道。它只在双击连接时才按需建立，不是配置完就常驻运行。

务必确认：
- SSH选项卡中已勾选使用SSH隧道
- 常规选项卡里的主机名/IP地址填的是127.0.0.1（不是localhost，更不能是云服务器公网IP）
- 如果之前用直连方式建过同名连接，删掉重来，避免navicat and connection is being used静默冲突

MySQL 8.0必须监听127.0.0.1:3306，不能只绑0.0.0.0

SSH隧道把远程3306映射到本地回环，流量最终要进MySQL进程。如果MySQL配置了bind-address = 0.0.0.0但没加127.0.0.1，或者压根没写bind-address（默认只监听127.0.0.1），隧道流量会被拒绝。

检查并修正：
- 登录云服务器，执行sudo grep bind-address /etc/my.cnf
- 若输出为空或为0.0.0.0，编辑配置文件，在[mysqld]下添加：bind-address = 127.0.0.1
- 重启服务：sudo systemctl restart mysqld
- 验证：sudo ss -tlnp | grep :3306，应看到127.0.0.1:3306而非*:3306

私钥登录失败？格式、路径、密码弹窗三处最容易漏

Navicat对私钥极其挑剔，PuTTY的.ppk文件直接不认，必须转OpenSSH格式：

MySQL（Linux）

MySQL 9.6.0是面向Linux平台的2026年创新版本，核心架构迎来重大革新。其将外键约束与级联操作从InnoDB引擎层上移至SQL层，确保所有数据变更均被完整记录至Binlog，彻底解决了CDC（变更数据捕获）与主从复制中的数据不一致难题。此外，该版本引入container_aware启动选项以原生适配容器环境，并对审计日志进行了组件化重构，为追求极致数据一致性与云原生体验的开发者提供了

下载

- 用PuTTYgen打开.ppk，选Conversions → Export OpenSSH key，保存为无后缀或.key文件
- 文件路径不能含中文或空格；拖进Navicat界面自动填充，别手输
- 如果私钥设了passphrase，Navicat会在后台弹窗要密码——任务栏会闪烁，注意切换窗口

命令行先验证基础链路：ssh -i /path/to/key user@your-server-ip -p 22，成功再进Navicat。

连接后查询慢或中断？保活和MySQL用户授权要同步配

SSH隧道本身延迟可忽略（实测50ms网络下增加

- Navicat SSH选项卡勾选保持连接活跃
- 或在云服务器端改/etc/ssh/sshd_config：ClientAliveInterval 60，然后sudo systemctl reload sshd
- MySQL用户权限必须明确允许从127.0.0.1连，例如：CREATE USER app@127.0.0.1 IDENTIFIED BY pwd; GRANT SELECT ON db.* TO app@127.0.0.1; FLUSH PRIVILEGES;。填%或localhost都不行

最易被忽略的是：MySQL 8.0默认启用skip-name-resolve，一旦开了，就必须用IP地址授权，app@127.0.0.1有效，app@localhost无效——而Navicat常规页填的是127.0.0.1，这里必须严格对应。