为何Amazon QuickSight访问公网Redshift不走VPC？如何强制私连？

疑问1：为何Redshift为公网模式时，QuickSight仍使用公网而非VPC连接？ #

当Redshift设置PubliclyAccessible = true时，集群的默认端点会同时解析为公网IP和私有IP，但QuickSight的数据源解析逻辑是优先使用公网IP路径——因为公网端点是直接可访问的，而VPC连接的私有路径需要明确指定私有端点才能触发。

EC2能正常走私有连接是因为EC2处于VPC内部，DNS解析会自动返回Redshift的私有IP；但QuickSight服务本身运行在AWS的公网管理区域，当检测到Redshift有公网解析记录时，会默认选择公网连接，即使你配置了VPC连接。

疑问2：如何强制QuickSight即使在Redshift为公网模式时，也通过VPC私有网络连接？ #

可以通过以下步骤实现：

1. 使用Redshift的私有端点配置数据源 #

Redshift集群在VPC内有专属的私有DNS端点（即使PubliclyAccessible=true也存在），你可以在Redshift控制台的集群详情中找到这个私有端点（格式类似cluster-name.xxxxxx.region.redshift.amazonaws.com）。在QuickSight配置Redshift数据源时，不要用公网端点，直接填写这个私有端点，同时选择已创建的同VPC连接。

这个私有端点在VPC内部会解析为Redshift的私有IP，QuickSight通过VPC连接访问时，会自动走私有网络路径。

2. 检查安全组互访配置 #

• Redshift的安全组要允许QuickSight VPC连接对应的安全组访问5439端口（入站规则）。
• QuickSight VPC连接的安全组要允许出站到Redshift集群的5439端口（出站规则）。

3. 验证连接路径（可选） #

临时从Redshift安全组中移除QuickSight的公网IP范围，如果QuickSight仍能正常连接Redshift，说明已经成功切换到私有VPC连接。

内容的提问来源于stack exchange，提问作者Yasin Demir