Auf Port 3306 lauschen MySQL und MariaDB. Bei Debian/Ubuntu ist standardmäßig bind-address = 127.0.0.1 gesetzt; Webanwendungen wie Nextcloud auf demselben Host nutzen ohnehin oft den Unix-Socket.
Nicht ins Internet öffnen. Exponierte Datenbanken werden laufend auf schwache Passwörter gescannt. Für Remote-Admin einen SSH-Tunnel nutzen: ssh -L 3306:127.0.0.1:3306 admin@db.beispiel.de. Bei getrennten App- und DB-Servern nur die App-IP freigeben.
Typische Fehler: Host '…' is not allowed to connect – der Benutzer existiert nur als 'app'@'localhost' –, und Can't connect … (111), weil der Dienst nur auf 127.0.0.1 lauscht.
Prüfen
mysql -h db.beispiel.de -P 3306 -u app -p -e "SELECT VERSION();"