通过VPN连接DBeaver与AWS Redshift时遇连接超时问题求助

问题背景 #

• 持有带样本数据集的AWS Redshift集群，需测试多种数据共享方式
• 集群已关闭「Publicly Accessible」（因VPC无法附加Internet Gateway）
• 安全组已配置允许VPN及自身所有流量
• 现象：使用DBeaver连接时持续触发「Connection attempt time out」错误

相关配置截图 #

• Redshift集群公开访问设置：
  
• 安全组入站规则配置：
  

排查与解决步骤 #

• 确认VPN连通性

  1. 检查本地设备是否成功建立VPN连接到目标VPC，VPN控制台隧道状态需为「UP」
  2. 本地执行traceroute <Redshift私有端点>（Linux/macOS）或tracert <Redshift私有端点>（Windows），验证数据包能到达集群所在子网
  3. 确认VPN路由表已添加Redshift子网CIDR的路由条目，下一跳指向VPN网关

• 修正安全组规则

  1. 安全组「允许自身所有流量」仅适用于VPC内资源互访，VPN接入设备需单独配置规则：
     • Site-to-Site VPN：添加入站规则，允许本地网络CIDR访问5439端口
     • Client VPN：添加入站规则，允许客户端IP池访问5439端口
  2. 确保安全组关联的是Redshift集群所在的子网

• 验证集群与子网配置

  1. DBeaver中必须填写Redshift的私有端点（关闭公开访问后无公有端点）
  2. 检查集群子网的路由表：存在指向VPN网关的路由，无拒绝流量的网络ACL规则

• DBeaver与命令行测试

  1. 先用psql命令行测试连接，排除DBeaver自身问题：

     psql -h <Redshift私有端点> -p 5439 -U <集群用户名> -d <数据库名>
     

  2. 若命令行连接成功，检查DBeaver是否开启了代理、本地防火墙是否拦截5439端口，尝试关闭SSL选项再连接

• 网络ACL检查
  集群所在子网的网络ACL需配置：

  • 入站规则：允许5439端口从VPN网络CIDR进入
  • 出站规则：允许所有响应流量返回VPN网络

内容的提问来源于stack exchange，提问作者Valle1208