RDS实例连接失败怎么办
问题分析
主要从八个方面考虑：
- 排除数据库实例异常
例如：关系型数据库系统故障，实例状态异常，实例或表被锁定。
- （常见）使用正确的客户端连接方式
- 内网连接需要RDS与ECS实例必须在同一区域、VPC内。
- 公网连接需要购买或使用已有EIP，并对RDS实例绑定该EIP 。
- 使用正确的SSL方式安全连接
界面SSL开关开启和关闭，分别对应不用的连接命令。例如：
- 开关开启：mysql -h 172.16.0.31 -P 3306 -u root -p --ssl-ca=/tmp/ca.pem
- 开关关闭：mysql -h 172.16.0.31 -P 3306 -u root -p
- 排除连接命令错误
例如：连接地址错误、端口参数配置错误、用户名和密码错误、SSL方式下命令错误。
- （常见）排除网络不通
内网访问
- 确认ECS与RDS是否在同一个区域，VPC。
- 检查安全组规则。
安全组外访问安全组内的RDS实例时，需要为安全组添加相应的入方向规则。
- 在ECS上测试是否可以正常连接到RDS实例地址的端口。
公网访问
- 检查安全组规则。
安全组外访问安全组内的RDS实例时，需要为安全组添加相应的入方向规则。
- 检查网络ACL规则。
- 相同区域主机进行ping测试。
- （常见）排除实例的连接数满的情况
实例连接数过多，可能会导致业务侧无法正常连接。
- （常见）排除实例的磁盘满的情况
当实例处于“磁盘空间满”状态时，影响数据的正常读写操作。
- 连接失败的常见报错
包含连接失败的常见报错，以及相应的解决方法。
排查思路
- 排除数据库实例异常
检查办法：请在控制台检查云实例状态是否为“正常”。
可能原因：关系型数据库系统故障，实例状态异常，实例或表被锁定等。
解决方案：如果实例状态为“异常”，请尝试重启。
图2 检查实例状态
- 使用正确的客户端连接方式
表1 客户端连接方式 连接方式
使用场景
连接样例
内网方式
系统默认提供内网IP地址。
当应用部署在ECS上，且该ECS与RDS实例处于同一区域，同一VPC时，建议单独使用内网IP连接ECS与RDS实例。
以RDS for MySQL为例：
mysql -h <内网地址> -P 3306 -u root -p --ssl-ca=/tmp/ca.pem
公网方式
不能通过内网IP地址访问RDS实例时，使用公网访问，建议单独绑定弹性公网IP连接ECS（或公网主机）与RDS实例。
用户需要购买弹性公网IP，请参见弹性公网IP计费说明。
以RDS for MySQL为例：
mysql -h <弹性公网IP> -P 3306 -u root -p --ssl-ca=/tmp/ca.pem
- 使用正确的SSL方式安全连接
- 排除连接命令错误
请获取正确的连接地址、端口参数配置、用户名和密码、SSL方式下命令错误，并重试连接实例。
SSL内网连接RDS for MySQL示例：mysql -h 172.16.0.31 -P 3306 -u root -p --ssl-ca=/tmp/ca.pem
SSL公网连接RDS for MySQL示例：mysql -h 公网地址 -P 3306 -u root -p --ssl-ca=/tmp/ca.pem
- 排除网络不通
内网访问
- 检查ECS与RDS是否在同一个区域，VPC。
- 不同区域的云服务之间内网互不相通，无法访问实例。请就近选择靠近您业务的区域，可减少网络时延，提高访问速度。
- 如果不在同一VPC，可以修改ECS的VPC，请参见切换虚拟私有云。
图6 查看ECS的VPC
图7 查看RDS的VPC
- 检查安全组规则。
- 查看ECS的安全组的出方向规则，如果目的地址不为“0.0.0.0/0”且协议端口不为“全部”，需要将RDS实例的内网IP地址和端口添加到出方向规则。
图8 ECS的安全组
- 查看RDS的安全组的入方向规则，需要将ECS实例的IP地址和端口添加到入方向规则。
- 查看ECS的安全组的出方向规则，如果目的地址不为“0.0.0.0/0”且协议端口不为“全部”，需要将RDS实例的内网IP地址和端口添加到出方向规则。
- 在ECS上测试是否可以正常连接到RDS实例地址的端口。
公网访问
- 检查安全组规则。
- 查看ECS的安全组的出方向规则，如果目的地址不为“0.0.0.0/0”且协议端口不为“全部”，需要将RDS实例的公网IP地址和端口添加到出方向规则。
图9 ECS的安全组
- 查看RDS的安全组的入方向规则，需要将ECS实例的IP地址和端口添加到入方向规则。
- 查看ECS的安全组的出方向规则，如果目的地址不为“0.0.0.0/0”且协议端口不为“全部”，需要将RDS实例的公网IP地址和端口添加到出方向规则。
- 检查网络ACL规则。
- 进入虚拟私有云网络ACL列表。
- 检查EIP绑定的网卡是否在网络ACL关联的子网下。
- 查看网络ACL当前是“开启”状态还是“关闭”状态。
若网络ACL为“开启”状态，需要添加ICMP放通规则进行流量放通。
注意：网络ACL的默认规则是丢弃所有出入方向的包，关闭“网络ACL”后，其默认规则仍然生效。
- 相同区域主机进行ping测试。
如果在原ECS上没有ping通RDS实例绑定的EIP，请在相同区域的另一台ECS上去ping该EIP，如果可以正常ping通，说明虚拟网络正常，请提交工单联系华为云客服协助解决。
- 检查ECS与RDS是否在同一个区域，VPC。
- 排除实例的连接数满的情况
检查办法：
- 通过show variables like '%max%connections%';命令查看实例连接数，示例：
- max_connections：允许同时连接的客户端总数。如果设定值为default，表示该参数随内存规格变化，具体请参见RDS数据库实例支持的最大数据连接数是多少。
- max_user_connections：特定RDS for MySQL账户允许的最大同时连接数。
- 查看实例的连接数指标是否已达上限，可查看目标实例的“数据库总连接数”和“当前活跃连接数”，判断是否需要释放连接。
可能原因：数据库连接数过多，可能会导致业务侧无法正常连接，也会导致实例全量备份和增量备份失败，影响业务的正常使用。
- 通过show variables like '%max%connections%';命令查看实例连接数，示例：
- 排除实例的磁盘满的情况
检查办法：磁盘空间使用率可通过管理控制台或云监控服务查看。
可能原因及解决方案：请参见RDS实例磁盘满导致实例异常的解决方法。
- 连接失败的常见报错
通过命令连接数据库实例时，可能出现的报错信息和解决方案如下所示：
- ERROR 2013：Lost connection to MySQL server during query
连接超时参数“wait_timeout”和“interactive_timeout”设置过小时，RDS for MySQL会自动断开超时的空连接。具体请参见MySQL客户端连接实例后会自动断开。
- ERROR 1045 (28000): Access denied for user 'root'@'192.168.0.30' (using password: YES)
排除是否密码错误问题，确认该主机是否有连接数据库实例的权限，以及RDS for MySQL客户端和实例VIP是否可以连通，具体请参见连接RDS实例失败的常见报错。
- ERROR 1226 (42000): User 'test' has exceeded the 'max_user_connections' resource (current value:10)
排查是否限制了实例的连接数，导致连接失败，具体请参见连接RDS实例失败的常见报错。
- ERROR 1129 (HY000): Host '192.168.0.111' is blocked because of many connection errors; unblock with 'mysqladmin flush-hosts'
排查是否由于RDS for MySQL客户端连接数据库的失败次数(不包括密码错误)，超过了max_connection_errors的值，导致连接失败，具体请参见连接RDS实例失败的常见报错。
- [Warning] Access denied for user 'username'@'yourIp' (using password: NO)
- [Warning] Access denied for user 'username'@'yourIp' (using password: YES)
- Login failed for user 'username'
- ERROR 2013：Lost connection to MySQL server during query
- 如果上述方法均不能解决您的疑问，请提交工单联系华为云客服为您解答。
