启用公网IP的AWS VPC内生产环境RDS无法连接排查求助

我在VPC内启用了公网IP的AWS RDS，但生产环境（prod）的RDS无法连接，非生产环境（non-prod）却能正常使用。非生产环境是数月前搭建的，未配置特殊设置，租户内也无网络防火墙。

环境对比 #

相似点 #

• 两个环境的RDS均启用公网IP
• 最初误以为两个环境的RDS实例安全组都开放了5432端口（或所有端口）<--- 编辑：实际并非如此，安全组仅对默认源（如安全组内的资源）开放该端口

不同点 #

• 两个环境使用不同VPC

排查尝试与疑问 #

我曾尝试配置VPC日志，但未看到日志，猜测可能是RDS的公网IP使其绕过了VPC内部流量？

合理性验证问题 #

(1) 上述公网IP假设是否正确，导致日志不会出现在CloudWatch中？

• 答案：错误，该假设不成立，日志本应显示，但实际未显示是因为流量未进入VPC，被安全组（SG）拦截。

(2) 还有其他可排查的日志吗？

• 答案：没有
• 已检查数据库日志，无任何记录。使用pgadmin4和telnet连接5432端口时均出现“connection timeout expired”错误。

关键编辑说明 #

VPC安全组默认源为类似sg-015ed4c212353asd7c / default的配置，此为安全组内所有资源的自引用，位于最右侧列易被忽略。若需向所有IP开放流量，需将源设置为0.0.0.0/0；若仅向指定IP开放，可设置为A.B.C.D/32。

内容的提问来源于stack exchange，提问作者mochsner