云数据库连不上，先别急着重启实例或反复改密码。先确认故障发生在哪一段：客户端是否能找到数据库地址，网络是否可达，云端是否允许当前来源访问，最后才检查认证和加密。按这个顺序做云端数据库网络连接排查，通常更容易缩小范围，也能避免误改生产环境配置。
先核对连接信息和实例状态
确认数据库实例处于运行状态，并逐项核对连接地址、端口、数据库名、用户名及认证方式。Amazon RDS、Google Cloud SQL 等服务可能同时提供公网和私网连接地址；使用私网地址的客户端必须处于可路由到对应网络的位置。端口也要匹配引擎，例如 MySQL 通常使用 TCP 3306，SQL Server 通常使用 TCP 1433，实际配置可能经过修改，应以实例设置为准。
- 从云平台控制台复制当前实例的连接地址，不要沿用旧环境或旧实例的地址。
- 确认客户端使用的数据库类型和端口与实例一致，并检查地址中是否有多余空格或拼写错误。
- 查看实例是否正在维护、重启或故障恢复；若状态异常，先按控制台提示处理，不要同时修改多项网络规则。
沿网络路径检查访问权限
区分公网连接与私网连接
公网连接适用于需要从外部网络访问、且云服务支持公网入口的场景，但要限制来源并启用加密。私网连接适用于同一 VPC、已建立网络对等连接或专线互通的客户端；它通常不应从普通家庭网络直接访问。检查客户端所在网络、子网路由和网络边界设置，确认去程与回程都有可用路径。
检查安全组和来源地址
查看数据库实例关联的安全组是否允许客户端的实际出口 IP 访问对应 TCP 端口。动态公网地址可能变化；公司网络还可能通过 NAT 使用统一出口地址。规则应尽量限定来源范围，不要为了测试长期开放给所有地址。若服务另有 IP白名单，也要同步加入正确的来源地址。安全组允许连接，不代表操作系统防火墙或云端网络 ACL 一定允许，必要时逐层核对。
用现象定位 DNS、端口和 TLS
- 提示找不到主机：检查 DNS解析、地址是否过期，以及客户端是否能解析私网域名。切换网络后可重新查询，不要只依赖本机缓存。
- 连接超时：优先检查路由、VPC 连通性、安全组和防火墙。超时通常表示连接未能到达服务端，不等同于密码错误。
- 连接被拒绝：核实端口、实例监听状态和数据库服务状态；如果端口可达但连接仍失败，再查看服务端日志。
- 证书或握手失败：确认客户端驱动支持服务要求的 TLS 版本，系统时间正确，并按云服务说明配置证书。关闭 TLS 可能降低安全性，不应作为长期解决办法。
如果能使用数据库客户端的连接测试功能，可从与应用相同的机器、容器或网络环境发起测试。笔记本连接成功而应用服务器失败，通常说明两者的出口地址、路由或证书配置不同；不要据此判断数据库对所有来源都可用。
按顺序复测并保留证据
- 记录故障发生时间、客户端位置、数据库地址类型及完整报错，密码等敏感信息不要写入工单或日志。
- 先确认实例状态和连接参数，再检查 DNS、网络路由、VPC、安全组、IP白名单及防火墙。
- 在规则调整后只改动一项并复测，确认有效后再继续；同时记录变更，便于回退。
- 若网络已通但仍无法登录，转查账号权限、密码、数据库连接数限制和服务端日志。
不要在没有备份和变更记录时重建实例或扩大开放范围。若问题仍无法定位，向云服务支持提交实例标识、发生时间、来源网络、端口测试结果和脱敏后的错误信息。云端数据库网络连接排查的关键，是按“地址—路由—访问规则—加密—认证”分层验证，而不是一次性改动所有配置。
常见问题
为什么本地能连，应用服务器却连不上？
两处可能使用不同出口 IP、DNS 或 VPC 路由。应以应用实际运行环境重新检查网络规则。
端口测试通过，就代表数据库可用吗？
不代表。端口可达只能说明网络层建立了连接，账号权限、TLS 和数据库状态仍可能导致登录失败。
可以临时允许所有 IP 排查吗？
不建议。优先添加已确认的客户端出口地址，并在测试后移除临时规则，避免扩大暴露面。
什么时候需要联系云服务支持？
实例状态异常、网络规则确认无误仍持续超时，或需要核查平台侧事件时，可提供时间、区域、实例标识和脱敏日志申请协助。