办公室网络无法连接远程 MySQL 问题解决全过程

一、问题现象

在办公室网络环境下，使用 JDBC 连接部署在云服务器（39.97.225.30）上的 MySQL 服务时，出现如下错误：

复制代码

SQL 错误 [08S01]: Communications link failure
The last packet sent successfully to the server was 0 milliseconds ago.
The driver has not received any packets from the server.

使用 手机热点 可以正常连接。
办公室网络下，访问该服务器上的 HTTP 服务（端口 8090、13000） 正常。
MySQL 端口曾尝试过 3306、13306、12345，均无法连接。

二、环境信息

组件	详情
服务器 IP	`-`
操作系统	Linux (CentOS/Ubuntu)
MySQL 部署方式	Docker 容器，数据持久化
MySQL 版本	8.0
最终端口	容器内 `3306`，宿主机映射 `13306`
办公室网络	企业防火墙，仅放行 HTTP/HTTPS 协议

三、问题分析过程

3.1 初步判断：端口被封锁

最初认为是办公室防火墙封锁了 MySQL 默认端口 3306，于是尝试更换为 13306、12345 等高位端口。

验证方法 ：在办公室电脑使用 Test-NetConnection（PowerShell）测试端口连通性。

powershell 复制代码

Test-NetConnection 39.97.225.30 -Port 13306

结果：TcpTestSucceeded : True ------ TCP 三次握手成功。

说明端口并未被封锁，问题出在应用层。

3.2 深入分析：DPI 深度包检测

既然 TCP 握手成功，但 MySQL 连接立即被重置（Connection reset），且 SSH 连接也出现类似现象：

复制代码

kex_exchange_identification: read: Connection reset

推测办公室防火墙启用了 七层 DPI（深度包检测） ，根据协议特征（MySQL 协议、SSH 协议）进行拦截，与端口号无关。而 HTTP 服务能通，是因为防火墙策略 仅放行 HTTP 协议。

3.3 尝试过的无效方案

更改 MySQL 端口 （3306 → 13306 → 12345）------ 无效，DPI 不依赖端口。
启用 MySQL SSL 加密 ------ 部分生效，但 TLS 握手包仍可能被识别为"非 HTTP"而被重置（取决于防火墙策略）。
SSH 隧道 ------ 办公室网络连 SSH 都被拦截（协议特征识别），无法建立隧道。

四、最终解决方案：Chisel HTTP 隧道

4.1 原理

Chisel 是一个基于 HTTP 的 TCP 隧道工具。它可以将任意 TCP 流量封装成 HTTP 请求，从而伪装成 Web 流量，绕过防火墙的协议过滤。

数据流向：

复制代码

Java 代码 → 127.0.0.1:3307 (本地监听)
              ↓
         Chisel 客户端（办公室 PC）
              ↓
   HTTP 隧道 → 服务器 12345 端口（Chisel 服务端）
              ↓
         Chisel 服务端解包
              ↓
         转发到 127.0.0.1:13306（MySQL）

4.2 服务器端配置

1) 确认 MySQL 容器运行在 13306 端口

bash 复制代码

docker run -d \
  --name mysql \
  -e MYSQL_ROOT_PASSWORD=your_password \
  -p 13306:3306 \
  -v /root/data/mysql:/var/lib/mysql \
  mysql:8.0

宿主机端口 13306 映射到容器内 3306
数据目录挂载在 /root/data/mysql 确保持久化

2) 下载并启动 Chisel 服务端

下载 Chisel（使用国内代理加速）：

bash 复制代码

wget -qO- https://ghproxy.com/https://github.com/jpillora/chisel/releases/download/v1.9.1/chisel_1.9.1_linux_amd64.gz | gunzip > /usr/local/bin/chisel
chmod +x /usr/local/bin/chisel

启动服务端 ，监听 12345 端口（该端口需在云安全组和防火墙放行）：

bash 复制代码

nohup chisel server -p 12345 --reverse > /var/log/chisel.log 2>&1 &

--reverse 允许客户端请求反向转发（本例中为普通转发，但保留该选项兼容其他场景）

验证服务端运行：

bash 复制代码

netstat -tlnp | grep 12345

应看到 chisel 进程监听 0.0.0.0:12345。

4.3 办公室客户端配置

1) 下载 Windows 客户端

从 GitHub Releases 下载 chisel_1.9.1_windows_amd64.exe：

https://github.com/jpillora/chisel/releases

注意：Windows Defender 可能会误报并删除该文件。解决方法：

临时关闭实时保护或 SmartScreen
或在下载后右键属性 → 勾选"解除锁定"
或将存放目录添加到 Defender 排除列表

2) 运行客户端

打开 CMD（建议管理员权限），进入 chisel.exe 所在目录，执行：

cmd 复制代码

chisel.exe client http://服务器ip:12345 3307:127.0.0.1:13306

http://服务器ip:12345 → 连接服务器 Chisel 服务端
3307 → 办公室电脑本地监听的端口（可自定义，如 3308，只要不冲突）
127.0.0.1:13306 → 最终要访问的目标（服务器本机的 MySQL）

保持该窗口始终运行，关闭则隧道断开。

4.4 Java 应用程序配置

修改 JDBC 连接串，将目标地址改为本地 127.0.0.1:3307：

java 复制代码

String url = "jdbc:mysql://127.0.0.1:3307/your_database?useSSL=false&allowPublicKeyRetrieval=true";
String user = "root";
String password = "your_password";
Connection conn = DriverManager.getConnection(url, user, password);

重要：

必须使用 127.0.0.1，不能使用 localhost（以避免 Java 在某些系统上尝试 Unix 域套接字）
关闭 SSL（useSSL=false），因为隧道本身已加密（HTTP 明文，但加密由 Chisel 可选支持，本例为简化未启用）

至此，应用程序通过本地 3307 端口，经 HTTP 隧道到达远程 MySQL，办公室防火墙无法拦截。

五、总结与关键点

关键点	说明
防火墙策略	办公室防火墙为七层 DPI，仅放行 HTTP 协议，拦截 MySQL/SSH 等协议特征
端口选择	MySQL 使用 `13306`，Chisel 服务端使用 `12345`，两者分开，不冲突
客户端本地端口	使用 `3307`（或任意空闲），避免与本地现有服务冲突
JDBC 连接	必须连接 `127.0.0.1`，而非 `localhost`，确保走 TCP 而非 Unix Socket
工具选择	Chisel 轻量、易用，适合"伪装 HTTP"穿透防火墙；也可用于其他 TCP 服务（Redis、MongoDB 等）

六、日常维护

服务器端：确保 MySQL 容器和 Chisel 服务端开机自启（可写入 rc.local 或 systemd）
办公室电脑：每次开机后执行 Chisel 客户端命令，保持窗口运行
如遇端口冲突，调整本地端口号（3307 改为其他），并同步修改 JDBC URL

七、感悟

这不是"改端口"或"开 SSL"能解决的问题，而是协议层面的对抗。在企业网络环境中，遇到类似情况，应首先判断防火墙策略（端口过滤 vs 协议过滤），再选择合适的穿透工具（HTTP 隧道、WebSocket 代理等）。Chisel 提供了一种简单、可靠的方式，且无需管理员权限即可在用户态运行。

问题圆满解决。 ✅