如何在不开启公网访问的情况下连接RDS MSql实例与Zapier？

1. AWS PrivateLink（首推） #

这是最安全合规的方式，全程在AWS私有网络内传输，不需要给RDS开公网IP：

• 在RDS所在的VPC里创建VPC端点服务，把RDS的安全组关联进去，安全组要允许Zapier的AWS账户或服务主体访问。
• 去Zapier的连接配置里选PrivateLink模式，填入你的VPC端点服务名称，再配上必要的认证信息。
• 别忘了给RDS安全组加规则，允许来自VPC端点的入站流量（对应你的数据库端口，比如MySQL用3306）。

2. 部署Zapier私有连接器代理 #

在你的VPC内部署一个代理，让Zapier云端通过这个代理访问RDS，代理和RDS在同一私有网络：

• 在VPC里开个EC2实例（或者部署到EKS集群），安全组要允许Zapier云端的IP访问代理端口，同时允许代理访问RDS的数据库端口。
• 安装Zapier私有连接器代理，配置好指向你的RDS实例地址和端口。
• Zapier那边配置连接时选私有连接器，填上代理的连接信息就行。

3. VPC对等连接/Transit Gateway（适合复杂网络） #

如果能和Zapier的AWS账户VPC建立对等连接，或者用Transit Gateway打通网络，Zapier就能直接访问私有RDS：

• 需要联系Zapier拿到他们的VPC信息，建立VPC对等连接后，配置路由表和安全组，允许双向的流量通行。

关于SSL证书的小提示 #

• 你用的rds-ca-2019.pem要确保是完整的根证书链，别只传单个证书，不然Zapier可能验证不通过。
• 检查RDS的SSL强制是否开启，如果开了，Zapier的连接字符串里必须明确指定SSL参数（比如ssl-mode=REQUIRED），不然会连不上。

内容的提问来源于stack exchange，提问作者Daniel Gordon