数据库远程连接超时

## 问题描述

用户通过 **WebSQL** 或**本地数据库客户端**（DBeaver、Navicat、SSMS、PL/SQL Developer 等）使用 CloudLinker 连接码访问数据库时，提示**连接失败**或**连接超时**。

------

## 排查思路（先明确一件事）

CloudLinker 的数据库访问链路本质上是：

> **访问来源（WebSQL 服务器 / 用户本地主机）→ 堡垒机网关的数据库代理端口 → 目标数据库**

因此“连接失败/超时”绝大多数情况下是**访问来源到堡垒机代理端口的网络可达性**出了问题，而不是数据库本身的问题。排查应围绕两条路径分别确认：

| 访问方式         | 源 IP                                                        | 目标地址与端口                     |
| :--------------- | :----------------------------------------------------------- | :--------------------------------- |
| WebSQL           | CloudLinker WebSQL 服务器出口 IP（固定：`47.111.131.169`、`47.111.116.102`） | 堡垒机网关 IP + 对应数据库代理端口 |
| 本地数据库客户端 | **用户当前公网出口 IP**（不固定，需实时确认）                | 同上                               |

------

## 排查步骤

### 一、公有云环境（以阿里云为例）

**1. 确认堡垒机网关所在实例**

登录云平台 ECS 控制台，通过堡垒机网关的**公网 IP 或内网 IP** 检索到 `linkit` 安装所在服务器实例。

**2. 检查安全组入方向规则**

进入该实例的安全组，确认已有以下入方向放行规则（协议均为 **TCP**）：

| 源地址                  | 端口                   | 说明                       |
| :---------------------- | :--------------------- | :------------------------- |
| `47.111.131.169/32`     | 9696、9433、9432、9521 | WebSQL 服务器出口 IP       |
| `47.111.116.102/32`     | 9696、9433、9432、9521 | WebSQL 服务器备用出口 IP   |
| **用户当前公网出口 IP** | 9696、9433、9432、9521 | 仅使用本地客户端访问时需要 |

**注意**：源地址不要填 `0.0.0.0/0`。安全组规则应精确到具体 IP（`/32`），既符合最小权限原则，也能避免因规则过于宽泛而被云平台安全策略覆盖或告警。如果用户本地公网 IP 不固定，可放行其所在办公网络的出口 IP 段，或临时放行当前 IP 并在用完后回收。

**3. 检查云防火墙 / 网络 ACL**

如果实例开启了云防火墙或所在 VPC 配置了网络 ACL，需同步确认策略允许上述源 IP 访问代理端口。部分连接超时案例是安全组已放行、但云防火墙仍然拦截所致。

------

### 二、IDC 机房 / 自有机房

远程登录堡垒机网关 `linkit` 所在服务器，按以下顺序检查：

**1. 主机防火墙**

根据操作系统防火墙类型，放行 WebSQL 出口 IP 和用户本地 IP 对代理端口的访问。

- `firewalld`：

bash

```
  firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="47.111.131.169" port port="9696" protocol="tcp" accept'
  # 依次对 47.111.116.102 及各端口添加，然后 firewall-cmd --reload
  ```

- `iptables`：

bash

```
  iptables -A INPUT -s 47.111.131.169 -p tcp --dport 9696 -j ACCEPT
  # 依次添加其他源 IP 和端口后保存规则
  ```

- **Windows 主机**：在 Windows Defender 防火墙“入站规则”中新建端口规则，或使用 `New-NetFirewallRule` 命令添加。

**2. 上层网络设备**

如果堡垒机网关前面有硬件防火墙、核心交换机 ACL 或云专线侧策略，需确认这些设备上同样放行了上述源 IP 到代理端口的流量。

------

### 三、连通性验证（定位“到底哪一段不通”）

修改规则后，建议先用连通性测试确认端口可达，再尝试业务连接。

**从用户本地测试（本地客户端场景）：**

bash

```
telnet <堡垒机网关公网IP> 9696      # MySQL 代理端口，按实际数据库类型替换
# 或使用 nc（Linux / macOS）
nc -zv <堡垒机网关公网IP> 9696
```

- 返回 `Connected` / `succeeded`：网络层已通，继续检查客户端配置。
- 返回 `Connection refused`：端口未监听或安全组/防火墙未放行。
- 一直挂起后超时：通常是防火墙静默丢包或路由不可达。

**从 WebSQL 服务侧测试：**

WebSQL 是 CloudLinker 托管服务，用户通常无法直接在 WebSQL 服务器上执行命令。此时可让用户**临时使用本地客户端**以相同出口 IP 做 telnet 测试，间接验证目标端口对 WebSQL 出口 IP 的可达性（前提是本地出口 IP 与 WebSQL 出口 IP 不同，需要分别放行验证）。如果公有云堡垒机控制台提供**网络诊断 / 连通性测试**功能，可直接输入堡垒机代理地址和端口进行测试，作为辅助手段。

------

### 四、本地数据库客户端的配置检查

网络层确认可达后，如果本地客户端仍连接失败，检查以下项：

------

## 常见原因速查

------

## 数据库代理端口清单（CloudLinker）

| 数据库类型 | 代理端口 | 协议 |
| :--------- | :------- | :--- |
| MySQL      | 9696     | TCP  |
| SQL Server | 9433     | TCP  |
| PostgreSQL | 9432     | TCP  |
| Oracle     | 9521     | TCP  |

> 上述为 CloudLinker 数据库代理默认端口。如环境中修改过代理端口配置，请以实际配置为准；安全组和防火墙规则应随之同步调整。

------

**补充建议**：修改安全组或防火墙规则后，建议**立即用 telnet 测试对应端口**，确认规则生效后再进行业务连接。如果连通性测试通过但业务仍失败，可进一步检查堡垒机网关的代理服务进程状态、CloudLinker 连接码是否过期或权限是否仍有效，以及目标数据库从堡垒机网关侧是否可达。