MariaDB 配置 SSL 加密连接报错 2003 怎么排查？

MariaDB 配置 SSL 后出现 2003 错误，通常是因为网络不通、服务未运行或 SSL 握手失败导致连接被直接拒绝。排查时先确认基础网络和服务状态正常，再检查客户端与服务端的 SSL 证书配置是否匹配，最后验证用户权限是否允许加密连接。

先说结论：2003 错误本质是连接建立失败，SSL 配置错误会加剧握手阶段的断开，需按网络、服务、证书顺序排查。

先确认 MariaDB 服务状态和 3306 端口可达性，排除基础网络问题。
先处理客户端与服务端的 SSL 证书路径及协议版本匹配问题，避免握手被拒。
再验证连接日志中是否有 SSL 握手报错或权限拒绝信息，定位配置差异。

命令速用版

以下命令用于快速检查服务状态和网络连通性，适用于 Linux 环境。

systemctl status mariadb
ping 192.168.64.15
nc -zv 192.168.64.15 3306

若使用 Windows 服务管理器，查找 MariaDB 服务确认状态为“正在运行”。

为什么会这样

2003 错误表示客户端无法连接到 MySQL 服务器，开启 SSL 后若配置不匹配会导致连接在握手阶段被切断。MariaDB 服务端若强制要求 SSL 而客户端未提供证书，或证书路径错误，连接请求会被直接拒绝，表现与网络不通类似。此外，bind-address 限制或防火墙拦截 3306 端口也会导致相同报错。

分步处理

按顺序执行以下步骤，每步完成后尝试重新连接。

1. 检查服务与网络
登录服务器执行systemctl status mariadb，确保服务 active (running)。使用nc -zv 服务器 IP 3306测试端口是否开放，若不通需检查防火墙或安全组规则。

2. 核对 SSL 配置
若服务端启用了 SSL，客户端必须配置对应证书路径。检查客户端连接设置中是否启用了 SSL 选项，并确保证书文件路径正确。若服务端未强制 SSL，可尝试在客户端暂时关闭 SSL 选项测试连接。

3. 确认用户权限
登录数据库执行SELECT host, user FROM mysql.user;，确认用户允许从当前 IP 连接。若需远程访问，执行GRANT ALL PRIVILEGES ON *.* TO 'username'@'%' IDENTIFIED BY 'password';并刷新权限。

怎么验证是否生效

连接成功后，执行SHOW STATUS LIKE 'Ssl_version';查看是否有 SSL 协议版本信息。若有值显示，说明加密连接已建立。检查服务端日志/var/log/mysqld.log，确认无新的连接拒绝或握手错误记录。

常见坑

bind-address 默认可能设置为 127.0.0.1，导致远程连接被拒，需改为 0.0.0.0 或指定 IP。云服务器需在控制台安全组放行 3306 端口。客户端工具若版本过低可能不支持服务端要求的 SSL 协议版本，建议升级客户端或调整服务端 TLS 配置。

常见问题

必须配置 SSL 才能连接吗？

不一定，除非服务端配置了强制 SSL 选项。若服务端未强制，客户端可关闭 SSL 选项尝试明文连接排查问题。

本地连接也报 2003 怎么办？

本地连接报错通常因服务未启动或 socket 文件路径不对。检查服务状态，或尝试使用 127.0.0.1 代替 localhost 强制走 TCP 连接。

修改配置后需要重启服务吗？

需要。修改 bind-address 或 SSL 相关配置后，必须重启 MariaDB 服务才能生效。

参考来源

Navicat 连接 MariaDB 报错 MariaDB 连接报错的参数配置指南
mysql 连接错误 (2003)
Debian MariaDB 连接失败怎么解决