漏洞修复后出现数据库连接超时，通常是因为系统更新过程中重置了防火墙规则、覆盖了数据库配置文件，或者数据库服务未能随系统重启自动拉起。

命令速用版

# 检查数据库服务状态
systemctl status mysqld
# 或
systemctl status postgresql

# 检查端口监听
ss -tlnp | grep 3306
# 或
ss -tlnp | grep 5432

# 检查防火墙状态（CentOS 7+）
firewall-cmd `--list-all`

# 检查防火墙状态（Ubuntu ufw）
ufw status

为什么会这样

Linux 系统在进行漏洞修复（通常通过 yum/apt 更新包）时，可能会触发以下机制导致连接中断：

• 服务重启：依赖库更新后，包管理器可能自动重启相关服务，若数据库启动失败则无法连接。
• 配置覆盖：更新过程中，若配置文件发生冲突，系统可能生成 .rpmnew 或 .dpkg-dist 文件，而主配置文件被重置为默认值，导致监听地址或权限变更。
• 安全策略收紧：部分安全更新会重置 iptables/nftables 规则，或增强 SELinux/AppArmor 策略，阻止数据库端口对外访问。

分步处理

1. 确认服务运行状态

使用 systemctl 查看服务是否 active (running)。若状态为 failed，查看详细信息：

systemctl status mysqld -l
# PostgreSQL
systemctl status postgresql -l

若服务未启动，尝试手动启动并观察报错。

2. 检查端口监听地址

数据库可能默认监听 localhost 而非 0.0.0.0。使用 ss 命令确认：

ss -tlnp | grep 3306
ss -tlnp | grep 5432

若显示 127.0.0.1:3306，说明仅允许本地连接。需检查配置文件中的 bind-address 参数。

3. 核对防火墙规则

更新可能重置防火墙。确认数据库端口是否在允许列表中。若使用 firewalld：

firewall-cmd `--permanent` `--add-port`=3306/tcp
firewall-cmd `--reload`

4. 比对配置文件

查找更新留下的备份文件，比对差异：

# MySQL
diff /etc/my.cnf /etc/my.cnf.rpmnew

# PostgreSQL (路径视发行版而定)
diff /var/lib/pgsql/data/postgresql.conf /var/lib/pgsql/data/postgresql.conf.rpmnew
# 或 Ubuntu/Debian
diff /etc/postgresql/14/main/postgresql.conf /etc/postgresql/14/main/postgresql.conf.dpkg-dist

若发现关键配置（如 port, bind-address, listen_addresses）丢失，需手动合并。建议使用 vimdiff 工具辅助合并。

SELinux 排查与修复

若防火墙已放行但仍无法连接，检查 SELinux 状态：

getenforce

若为 Enforcing，查看是否有拒绝日志：

grep denied /var/log/audit/audit.log | tail

临时测试可设置为 Permissive（重启后失效）：

setenforce 0

若确认是 SELinux 拦截，恢复 Enforcing 并放行端口（以 MySQL 3306 为例）：

setenforce 1
semanage port -a -t mysqld_port_t -p tcp 3306

若缺少 semanage 命令，需安装 policycoreutils-python-utils 包。PostgreSQL 对应端口类型为 postgresql_port_t。

怎么验证是否生效

在应用服务器或客户端机器上，使用 telnet 或 nc 测试连通性：

nc -zv <数据库 IP> 3306

若显示 succeeded，说明网络层通畅。随后使用数据库客户端工具登录：

mysql -h <数据库 IP> -u 用户名 -p
psql -h <数据库 IP> -U 用户名 -d 数据库名

同时观察数据库错误日志（通常位于 /var/log/mysql/ 或 /var/lib/mysql/，PG 通常在 /var/log/postgresql/），确认无新的拒绝连接记录。

常见坑

• 配置文件被静默覆盖：更新时未注意提示，导致自定义配置丢失。建议更新前备份配置文件。
• SELinux 限制：即使防火墙放行，SELinux 可能阻止数据库绑定非标准端口。需使用 semanage 放行。
• 时间不同步：系统更新后若时间偏差过大，可能导致 SSL 连接验证失败，表现为连接超时或拒绝。
• 依赖库版本冲突：某些安全更新升级了 glibc 或 openssl，旧版数据库客户端可能无法兼容，需同步升级客户端驱动。

参考来源

• MySQL Official Documentation, "Chapter 2: Installing and Upgrading MySQL"
• PostgreSQL Documentation, "Server Startup"
• Red Hat Documentation, "Using Firewalls"