导言

一、MySQL 通信传输方式

二、mysqld 启动与监听

mysqld 是 MySQL Server 主进程。说起来，启动后它会告诉操作程序：

"如果有人想通过 TCP 连接我的监听端口。请把连接交给我，"

This means mysqld calls system calls socket,bind。and listen. The resulting socket is called a “listening socket”. It only accepts new connections – it does not handle data transfer after a client connects.

⚠️ 常见痛点：若 mysqld 没有正确监听，就会报错 “Can't start server: Bind on IP address failed”。查看程序日志或使用 socat LISTEN:3306,fork,reuseaddr EXEC:'/usr/sbin/mysqld'.

三、MySQL 连接流程详解

1) TCP 三次握手

# 本机连远程 MySQL 时抓包：$ sudo tcpdump -i any 'tcp port ' -w mysql_handshake.pcap
# 在另一窗口执行：$ mysql -h  -P -uroot -p
# 查看抓包内容：$ tcpdump -nnr mysql_handshake.pcap
$ tcpdump -nnXr mysql_handshake.pcap # 看 TCP Payload
$ tcpdump -nnAr mysql_handshake.pcap # ASCII 查看 Payload
# 示例三次握手包结构：`
:: IP ..> .. : Flags。seq,win,options
:: IP ..> .. : Flags,seq,ack,win,options
:: IP ..> .. : Flags,ack,win,options
# 解析说明：SYN 表示请求建立连接；SYN+ACK 为服务器同意；ACK 确认已完成，---

从关键点来看，


TCP 三次握手完全由内核完成。应用层只需调用 .connect.

SYN Queue和 Accept Queue是内核维护的两个缓冲区。

Mysql 的实际数据传输是在 “connected socket” 上进行，而不是 listening socket。

TCP 报文里包含、窗口大小等信息，可帮助排查网络延迟或丢包问题。常见错误如 “Connection timed out” 通常代表着 SYN 包被丢弃或 ACK 未收到。解决办法这方面，检查防火墙、路由器 ACL 或服务器压力均衡配置。

*使用者痛点*:
- **为什么会出现“Too many connections”？**
- **怎样快速定位是网络层还是协议层导致的连接失败？**
- **如何在 Docker 环境里保证容器内部能正常访问宿主机的 MySQL？**
再看回答，- 检查 `max_connections` 与 `thread_cache_size` 是否满足需求；- 用 `tcpdump` 捕获 SYN/ACK 流量确认是否成功到达服务器；其实，- 对于 Docker。可以使用 `--network=host` 或绑定 host 的套接字文件。


2) MySQL 协议握手流程 

Mysql 协议遵循一种二进制格式，每个包由头 + payload 构成。下面按顺序描述关键步骤：

① Initial Handshake Packet 
# 抓取第一个数据包：$ tcpdump ...
:: IP ... Flags ... length 0x0000:`
... # 实际字节流略去
字段 | 长度 | 含义
---|---|---
protocol_version |1|固定0x0A
server_version |变长|服务器版本字符串
connection_id |4|线程 ID
auth-plugin-data-part_1 |16|前半随机盐
filler |1|固定0x00
capability_flags_1 |2|低位能力标志
character_set |1|默认字符集编号
status_flags |2|
auth-plugin-data-part_2_len |1|
reserved10 |10|
auth-plugin_data_part_2 |变长|
auth_plugin_name |变长|如 caching_sha2_password

⚠️ 小提示：如果你看到 auth_plugin_name 为 mysql_native_password 且不支持 SSL，那就要考虑升级到新的认证插件或者开启 SSL/TLS。


② SSLRequest 

客户端发送一个长度为36字节的 SSLRequest 包，用来告知想切换到加密通道。这一步属于 MySQL 协议层，而非 TLS 本身。

③ TLS 握手阶段 

客户端发起 ClientHello，随后服务器返回 ServerHello + Certificate 等信息。此时真正的数据传输已进入安全通道，再往后的认证信息都是加密的。

④ Auntication Package 
# 此时已经在 TLS 通道内。可以看不到明文使用者名密码，只能看到随机字节序列。


{capability_flags} : 双方协商可用功能，如 CLIENT_PROTOCOL_41、CLIENT_SECURE_CONNECTION 等。

{max_packet_size} : 客户端可接受最大包大小。

{character_set} : 字符集编号。话说回来，

{username}

{auth_response} : 基于盐和密码计算得到的加密结果。若未开启 TLS，则此值是明文哈希，可通过抓包查看但不推荐直接解析。

{database}
.


⚠️ 使用者痛点：**为什么会出现“Access denied for user 'root'@'%' ”？**
原因可能是 auth_response 与数据库中 stored hash 不匹配。排查思路这方面，检查 `
`SELECT auntication_string FROM mysql.user WHERE User='root' AND Host='%';` `
` 与 ``mysql_native_password` 或 ``caching_sha2_password` 的实现是否一致；确认 password 是否正确且未被
若使用旧版密码，请执行 `ALTER USER 'root'@'%' IDENTIFIED WITH caching_sha2_password BY 'newpass';`，### 🔒 如何安全地管理密码？* 使用 `--skip-grant-tables` 来临时禁用授权表，但请；* 避免在脚本中硬编码密码，可通过 `.my.cnf` 配置文件或环境变量管理；
* 定期更换 root 密码，并限制 root 登录来源。

⑤ Server Response 


If auntication succeeded ➜ OK packet . Then enters command loop.

If auntication failed ➜ ERR packet with error code and message.
# 举例查看错误码：$ SHOW WARNINGS;$ SHOW ERRORS;

注意：若报错 “Auntication plugin 'cachingsha2password' cannot be loaded” 则说明客户端缺少相应插件，需要升级客户端库或者修改 server plugin 为 mysqlnativepassword 临时解决。也可以通过 ALTER USER 设置插件名来兼容旧版工具，例如：

sql
ALTER USER 'user'@'host' IDENTIFIED WITH mysql_native_password BY 'password';

🔎 排错技巧


用 netstat --tcp --listening --programs 查看 mysqld 正确监听了哪些地址/端口。

用 strace mysqld_startup_command ... 跟踪 syscalls，看是否 bind 成功。

开启 server 日志 可以看到每个 client 发来的命令及其返回状态。

开启 slow query log 可以检测慢查询导致线程占用过久，从而影响新连接。




©2026‑09‑09 — 您的问题，我给出的答案 —— 一键排查从 “无法连上” 到 “为什么报错 Too many connections”的全链路拆解！