如何安全连接MySQL RDS实例至Heroku环境？解决IP随机无法白名单难题

以下是几个符合安全最佳实践的替代方案，解决Heroku动态IP无法固定白名单的问题：

1. Heroku Private Spaces + AWS VPC对等连接 #

这是最安全的方案之一，通过将Heroku的私有运行环境与AWS VPC建立对等连接，让Heroku dyno直接在私有网络内访问RDS：

• 创建Heroku Private Space，它会分配一个专属的私有CIDR范围
• 在AWS控制台配置VPC对等连接，将Heroku Private Space的VPC与RDS所在的AWS VPC关联
• 更新RDS的安全组，仅允许对等VPC的CIDR段访问，完全关闭公网访问权限
• 这种方式下，流量完全在私有网络内传输，无需暴露RDS到公网，从根源上避免了公网攻击风险

2. IAM角色认证 + 强制SSL连接 #

放弃传统的密码认证，改用AWS IAM角色来控制RDS访问，同时强制所有连接使用SSL加密：

• 开启RDS实例的IAM数据库认证功能
• 创建具备rds-db:connect权限的IAM角色，并通过Heroku的AWS集成功能让dyno能获取该角色的临时凭证
• 在代码中使用IAM生成的临时用户名和密码连接RDS，同时强制启用SSL（比如MySQL连接字符串中添加ssl-mode=REQUIRED）
• 即使RDS安全组暂时需要允许较宽的IP范围，由于只有持有有效IAM凭证的请求才能通过认证，再加上SSL加密数据传输，安全性远高于单纯开放0.0.0.0

3. 动态更新RDS安全组的Heroku出口IP #

利用Heroku提供的API获取其当前的出口IP范围，通过脚本定期更新RDS安全组，只允许这些IP访问：

• 通过Heroku API获取目标区域的dyno出口IP列表（示例命令：heroku run curl https://api.heroku.com/v3/regions/<你的区域>/stack/cedar-14/ip_ranges -H "Accept: application/vnd.heroku+json; version=3"）
• 编写脚本（可以用Python/Shell配合AWS CLI），定期删除安全组中旧的Heroku IP规则，添加新获取的IP段
• 将脚本部署为Heroku定时任务（Scheduler），比如每分钟执行一次，确保安全组规则始终与Heroku的最新IP范围同步
• 这种方式的安全性接近固定IP白名单，同时适配Heroku的IP动态变化特性

4. 加密隧道代理 #

部署一个加密代理服务，让Heroku通过隧道访问RDS，避免直接暴露RDS的公网端口：

• 在AWS VPC内部署一个轻量代理服务器（比如Nginx或专用的隧道工具），配置它只接受来自Heroku的连接并转发到RDS
• 代理服务器开启SSL加密，Heroku端通过SSL连接到代理，再由代理转发到RDS
• 更新RDS安全组，仅允许代理服务器的私有IP访问；代理服务器的安全组则配置为允许Heroku的出口IP范围（或配合动态更新）
• 这种方案适合无法使用Private Spaces的场景，通过代理层隔离RDS的直接公网暴露

通用安全建议 #

不管采用哪种方案，都要开启RDS的强制SSL连接，在RDS控制台启用Require SSL选项，确保所有数据传输都经过加密，进一步降低数据泄露风险。

内容的提问来源于stack exchange，提问作者NoobAmI