如何让Docker容器访问经隧道连接的AWS Redshift？

场景1：隧道建立在Windows主机上 #

当隧道跑在Windows主机时，容器无法直接用localhost访问主机端口，需要调整以下配置：

• 修改隧道绑定地址：建立SSH隧道时，不要绑定到127.0.0.1，改为绑定0.0.0.0，让主机所有网卡监听该端口。示例命令：

  ssh -L 0.0.0.0:5439:<redshift-cluster-endpoint>:5439 <aws-ec2-user>@<bastion-host> -N
  

• 容器内使用正确的连接地址：不要用localhost，改用Docker Desktop提供的host.docker.internal（专门用于容器访问主机），或者Windows主机的局域网IP。SQLAlchemy连接字符串示例：

  from sqlalchemy import create_engine
  engine = create_engine("postgresql+psycopg2://<username>:<password>@host.docker.internal:5439/<database-name>")
  

• 检查Windows防火墙：确保Windows防火墙允许目标端口（如5439）的入站连接，可暂时关闭防火墙测试是否是防火墙阻断。

场景2：隧道建立在Docker容器内 #

如果把隧道放在容器内运行，需注意：

• 安装SSH客户端：Ubuntu容器默认无ssh客户端，先执行安装：

  apt update && apt install -y openssh-client
  

• 后台运行隧道：用nohup让隧道在后台持续运行，避免终端关闭后断开：

  nohup ssh -L 5439:<redshift-cluster-endpoint>:5439 <aws-ec2-user>@<bastion-host> -N &
  

• 容器内连接地址用localhost：此时SQLAlchemy直接连接localhost:5439即可，示例：

  engine = create_engine("postgresql+psycopg2://<username>:<password>@localhost:5439/<database-name>")
  

通用排查步骤 #

• 测试端口连通性：在容器内用telnet或nc测试端口是否可达，比如：

  # 主机隧道场景
  telnet host.docker.internal 5439
  # 容器内隧道场景
  telnet localhost 5439
  

• 查看隧道监听状态：用netstat确认端口处于监听状态：

  netstat -tulpn | grep 5439
  

• 验证凭证正确性：确保SQLAlchemy使用的用户名、密码、数据库名与dBeaver完全一致，密码中的特殊字符（如@、&）需做URL编码。

内容的提问来源于stack exchange，提问作者user20918430