AWS Aurora MySQL至BigQuery Datastream连接超时问题求助

核心问题定位 #

你遇到的超时问题，本质是Datastream的VPC Peering配置未正确打通到AWS Aurora的私有网络路径——虽然HA VPN能实现VM双向ping通，但Datastream的私有连接依赖特定网络配置，和普通VM的连通性逻辑不同。

具体排查与修复项 #

• 修正私有连接方式选择
  你判断的没错：Datastream的Private Connectivity (VPC Peering)仅适用于GCP内部或已与GCP VPC直接对等的外部VPC，但AWS与GCP无法直接做VPC Peering，需通过云互联或VPN中转。因此在已配置HA VPN的前提下，你应该选择Cloud VPN作为Datastream的私有连接方式，而非VPC Peering。

• 检查Aurora安全组规则
  确保Aurora所在安全组允许来自GCP VPN网关IP段（或Datastream所属GCP VPC的完整CIDR）的TCP 3306端口流量：

  • 不要仅放行单台VM的IP，需放开整个GCP侧的对等IP范围
  • 入站规则需明确指定协议为TCP、端口3306，源地址为GCP VPC的CIDR

• 验证DNS解析有效性
  Aurora的私有集群端点仅在AWS VPC内部可解析，GCP内部DNS无法直接识别。解决办法二选一：

  • 在GCP VPC中配置Cloud DNS私有区域，将Aurora集群端点映射到其私有IP
  • 直接使用Aurora的私有IP作为Datastream的连接主机地址，绕过DNS解析环节

• 核对VPN隧道路由配置
  即使VM能ping通，也要确认双方路由表配置完整：

  • AWS侧：将GCP VPC的CIDR路由指向HA VPN网关
  • GCP侧：将Aurora所在AWS私有子网的CIDR路由指向HA VPN隧道
  • 排查是否存在路由黑洞或冲突条目

• SSL配置的细节验证
  若尝试SSL连接未成功，需额外检查：

  • Aurora参数组中require_secure_transport参数是否设为ON（若开启，非SSL连接会被直接拒绝）
  • Datastream选择的加密类型需与Aurora的SSL配置匹配，且上传的是正确的AWS RDS根证书

快速测试验证 #

1. 在GCP侧VM上执行mysql -h <aurora_cluster_endpoint> -P 3306 -u <DB_USER> -p，确认是否能成功登录（排除Datastream自身的问题）
2. 若VM能连接但Datastream不行，检查Datastream的私有连接是否绑定了正确的GCP VPC和子网，且该子网的路由表包含到AWS的路由
3. 查看GCP Cloud Logging中的Datastream日志，搜索connection timeout相关条目，获取更详细的错误上下文

内容的提问来源于stack exchange，提问作者Dex