2003 这个错误码本身说明客户端连 MySQL 服务端的 TCP 连接没建起来，但具体断在哪一层，报错信息里看不到。处理时建议按“网络层、服务监听层、账号权限层”的顺序逐步排查，每改一个配置就重新验证一次，避免把问题越搞越复杂。
先别急着改配置：确认网络到底通不通
当MySQL客户端报出2003错误时，第一个要排除的是网络层问题。在客户端机器上执行ping命令，确认能否到达MySQL服务器的IP地址；若ping不通，检查防火墙规则或云安全组是否放行了3306端口。随后使用telnet命令测试端口连通性：telnet 3306，如果连接被拒绝或超时，说明服务端端口未监听或中间链路有阻断。注意，ping通不代表端口通，也可能服务器开启了防火墙但允许ICMP。此时可以改用nc -vz命令做更精确的检测，避免被ping结果误导。
这条命令的适用场景是客户端和服务器之间链路不明确，或者刚改过安全组、防火墙。操作动作可以分三步：先 ping，再 telnet，最后用 nc -vz 做端口探测。边界要注意：ping 通只代表 ICMP 通，不代表 TCP 3306 放行；nc -vz 显示 succeeded 才说明端口这一层可达。如果端口通但 MySQL 还是报 2003，问题基本可以排除在网络链路之外。
看服务端到底监听在哪个地址
在MySQL服务器本机执行netstat -ntlp | grep 3306，查看mysqld进程是否监听在正确的IP和端口上。如果输出显示只监听在127.0.0.1:3306，说明服务只绑定到了回环地址，外网或局域网客户端自然无法连接。这是常见配置错误，由my.cnf中的bind-address参数引起。修改bind-address为0.0.0.0或明确的服务器内网IP后，重启MySQL服务即可。如果本机也连接不上，则需要检查服务是否正常启动，可以通过systemctl status mysql或ps -ef | grep mysqld确认进程状态。
这一步要结合 my.cnf 里的 bind-address 一起看。如果发现只监听 127.0.0.1，改完配置后必须重启 MySQL，再用 netstat 确认监听地址已经变成 0.0.0.0。风险点是：把 bind-address 改成 0.0.0.0 后，只要有账号能从外部登录，这个端口就会暴露在网络上。改之前先确认防火墙或安全组对 3306 的访问范围有限制，再执行重启。
错误日志比凭感觉猜更可靠
服务端启动失败、端口被占用、数据目录权限异常，都会表现为客户端 2003。登录MySQL服务器后，先看错误日志，通常路径是 /var/log/mysql/error.log，或者通过配置里的 log_error 参数确认实际位置。检索日志里有没有 bind failed、Address already in use、Can't start server 这类关键词。如果端口被占用，用 lsof -i:3306 查占用进程；如果是权限问题，检查数据目录属主是否是 mysql 用户。
防火墙和安全组要逐层查
服务端监听正常、本地 telnet 也通，但外部客户端仍然 2003，通常是被防火墙或安全组拦截。在服务器上执行 iptables -L -n 看 INPUT 链，再用 firewall-cmd --list-all 检查 firewalld 的放行列表。云服务器还需要登录云控制台，确认安全组已经放行 3306。这里最容易忽略的是，iptables 为空不代表云平台安全组也放行；两个规则是叠加关系。换一个同网段的机器执行 nc -vz <服务器IP> 3306，如果通，问题出在客户端到服务器的中间链路，而不是本机配置。
账号 host 和 skip-networking 也会变成 2003
有时2003错误并不是连接层，而是账号权限限制。例如MySQL用户被限定为仅允许从特定主机登录，或使用skip-networking参数禁用了TCP/IP连接。检查my.cnf中是否包含skip-networking，若有该参数则所有TCP连接都会失败，只能通过本地socket访问。再查看mysql.user表中用户的host字段，如果host是'localhost'，则远程连接必定被拒绝。执行SELECT user, host FROM mysql.user;确认账号允许的访问范围。修改账号host为'%'或具体IP段后，执行FLUSH PRIVILEGES使变更生效。需要注意的是，修改绑定地址后必须重启服务，但修改账号权限只需刷新权限表。
验证时先看 my.cnf 有没有 skip-networking，再看 mysql.user 表。要注意，修改 bind-address 必须重启 MySQL 才能生效，但修改账号 host 只需要 FLUSH PRIVILEGES，不需要重启。边界是：把 host 改为 '%' 虽然能解决远程登录，但也会扩大账号的访问来源，建议尽量改成具体的应用服务器 IP，减少暴露面。
IPv4 和 IPv6 绑定不一致也值得看一眼
新版本 Linux 上，如果客户端用 IPv4 地址连接时出现 2003，但用 localhost 正常，检查 my.cnf 里的 bind-address 是不是 ::。改成 0.0.0.0 后再试。客户端侧也可能有 IPv6 解析问题，在 /etc/hosts 里把服务器主机名指到 IPv4 地址，可以快速绕过。