深信服堡垒机连接数据库 常见问题排查与解决步骤

① 目标说明：确认堡垒机（Sangfor）与目标数据库（如MySQL/Oracle/PostgreSQL）之间应能完成TCP握手与应用层认证。
② 环境核对：记录堡垒机版本号、数据库版本、操作系统与网络拓扑（例如堡垒机IP、DB IP、跳板机、DMZ）。
③ 工具准备：常用命令：telnet/nc、ping、traceroute、ss/netstat、iptables/ufw、tcpdump、mysql client/psql。
④ 权限确认：确认堡垒机管理控制台、运维账号与数据库账号都有足够权限执行测试。
⑤ 日志收集：准备收集堡垒机日志、数据库访问日志、操作系统dmesg和/var/log/messages以便分析。

① 连通性测试：使用ping、traceroute确认网络路径是否通畅（示例：traceroute -n 10.0.0.5）。
② 端口检测：使用telnet db_ip 3306或nc -zv db_ip 3306测试TCP端口是否可达。
③ DNS解析：若使用域名，使用dig/host确认解析到正确IP，避免解析到公网CDN或旧IP（示例：dig db.example.com）。
④ MTU与丢包：排查是否存在MTU导致的大包丢失，使用ping -M do -s 1472 db_ip测试。
⑤ 路由与NAT：确认堡垒机路径是否经过负载均衡、NAT或SRX等设备，必要时同步运维修改路由或添加静态路由。

① 连接字符串：核验主机、端口、数据库名、用户名、密码是否正确，注意特殊字符需转义或URL编码。
② 账号权限：使用mysql -hDB -P3306 -uuser -p确认账号能在堡垒机IP上登录（示例：GRANT ALL ON db.* TO 'user'@'10.10.10.%'; FLUSH PRIVILEGES;）。
③ 最大连接数限制：查询SHOW VARIABLES LIKE 'max_connections'; 若接近上限需提升或优化连接池配置。
④ 认证插件：MySQL 8.0可能使用caching_sha2_password，堡垒机或客户端需支持相应认证方式。
⑤ 超时与加密：检查连接超时（connect_timeout）、SSL/TLS配置，若启用SSL需确保证书链与SNI配置正确。

① 主机防火墙：检查数据库主机iptables/nftables规则（iptables -L -n），确认3306/1521等端口放行。
② 云安全组：若数据库在云上（VPC/子网），确认安全组规则允许堡垒机所在子网访问目标端口。
③ 堡垒机策略：检查堡垒机上的“会话策略”或“访问控制”是否对该数据库主机做了限制或白名单规则。
④ 流量限速与DDoS防护：若前端有DDoS防护或CDN，确认非预期流量不会被误判阻断，需要将堡垒机IP列入白名单。
⑤ 日志审计影响：堡垒机开启全流量审计或代理模式时可能影响连接建立，尝试切换直连模式或临时关闭审计测试。

① 连接数量监控：使用SHOW PROCESSLIST; 或监控系统查看并发连接数与慢查询，判定是否因连接耗尽导致无法新建连接。
② 超时设置：检查客户端与服务器端的wait_timeout、interactive_timeout、net_read_timeout等参数以排除长连接被切断。
③ 连接池配置：堡垒机或应用的连接池（如HikariCP）应配置合理的maxPoolSize、connectionTimeout，避免瞬时回弹。
④ 硬件瓶颈：查看数据库CPU、内存、磁盘IO（iostat）是否存在高负载，必要时扩容或调整IO调度。
⑤ 备份/维护窗：确认是否处于全量备份或重建索引窗口，备份期间锁表可能导致连接等待或超时。

① 案例背景：某公司堡垒机Sangfor v6.5连接MySQL 5.7遇到“连接超时”，用户从堡垒机无法连接DB但直接从运维跳板可连。
② 初步排查：使用telnet 192.168.10.20 3306在堡垒机上测试返回“Connection refused”，而跳板测试成功。
③ 发现问题：查看堡垒机路由表，发现堡垒机到DB的路由指向错误网关，修正后恢复连通；同时在云端安全组限制了非特定子网的访问。
④ 解决步骤：1) 修正堡垒机路由：ip route add 192.168.10.0/24 via 10.0.0.1; 2) 在云安全组放行堡垒机IP 10.0.0.5:3306；3) 验证连接。
⑤ 服务器配置示例（供参考）：

① CDN定位：CDN通常用于Web层加速，数据库不应走CDN，确认堡垒机到DB为直连路径，避免走边缘节点。
② DDoS策略：若存在上游DDoS防护，配置堡垒机出口IP白名单，避免被防护误判。
③ 端口保护：对外暴露仅开放必要端口（如SSH/3306通过堡垒机做中转），并启用连接限制与速率控制。
④ 审计与回滚：变更安全组或路由前提前备份配置并制定回滚方案，变更后持续监控5-30分钟确保稳定。
⑤ 常用命令汇总：telnet/nc/mysql客户端/ss -ltnp/ip route/iptables -L/tcpdump -i eth0 port 3306，用于快速定位问题根因。

来源：深信服堡垒机连接数据库 常见问题排查与解决步骤