如何让knexjs通过EC2跳板机的SSH隧道连接RDS？

核心思路是利用ssh2建立本地端口转发，将RDS的数据库端口映射到本地，再让Knex连接本地映射的端口。以下是完整实现步骤：

1. 安装依赖 #

根据你的数据库类型安装对应驱动，以PostgreSQL为例：

npm install knex ssh2 pg

如果是MySQL，替换为：

npm install knex ssh2 mysql2

2. 完整代码示例 #

const { Client } = require('ssh2');
const knex = require('knex');
const fs = require('fs');

// EC2 SSH连接配置
const sshConfig = {
  host: '你的EC2公网IP或域名',
  port: 22,
  username: 'ec2-user', // 不同系统可能不同，比如Ubuntu用ubuntu
  privateKey: fs.readFileSync('/本地路径/你的私钥文件.pem')
};

// RDS数据库配置
const rdsConfig = {
  host: '你的RDS端点',
  port: 5432, // PostgreSQL用5432，MySQL用3306
  user: 'RDS用户名',
  password: 'RDS密码',
  database: '目标数据库名'
};

// 本地映射端口（选一个未被占用的端口）
const localForwardPort = 5433;

const sshClient = new Client();

sshClient.on('ready', () => {
  console.log('SSH连接EC2成功，建立端口转发...');
  
  // 创建端口转发：将本地请求通过EC2转发到RDS
  sshClient.forwardOut(
    '127.0.0.1',
    localForwardPort,
    rdsConfig.host,
    rdsConfig.port,
    (err, stream) => {
      if (err) {
        console.error('端口转发失败:', err);
        return sshClient.end();
      }

      // 初始化Knex，使用SSH转发的流连接
      const db = knex({
        client: 'pg', // MySQL替换为'mysql'
        connection: {
          host: '127.0.0.1',
          port: localForwardPort,
          user: rdsConfig.user,
          password: rdsConfig.password,
          database: rdsConfig.database,
          stream: stream // 关键：指定用SSH建立的流
        }
      });

      // 测试数据库连接
      db.raw('SELECT 1')
        .then(() => console.log('Knex通过SSH连接RDS成功！'))
        .catch(err => console.error('Knex连接失败:', err))
        .finally(() => {
          // 清理资源
          db.destroy();
          sshClient.end();
        });
    }
  );
}).on('error', err => console.error('SSH连接出错:', err))
  .connect(sshConfig);

3. 关键注意事项 #

• 权限设置：私钥文件权限需设为600（Linux/macOS下执行chmod 600 你的私钥文件.pem），否则SSH会拒绝连接。
• 安全组配置：
  • EC2安全组：允许你的本地IP访问22端口；
  • RDS安全组：允许EC2的私有IP访问数据库端口（如5432/3306）。
• 端口占用：确保localForwardPort未被本地其他程序占用，否则会报错。
• VPC配置：优先确保EC2和RDS在同一个VPC内，这样无需开启RDS的公有访问，更安全。

4. 常见问题排查 #

• 如果SSH连接成功但Knex连不上：检查RDS端点、用户名密码是否正确，RDS是否处于可用状态；在EC2上执行telnet 你的RDS端点 5432测试连通性。
• 如果端口转发失败：检查EC2的安全组是否允许出站访问RDS的数据库端口，RDS的安全组是否允许EC2访问。
• 版本兼容问题：确保Knex版本与数据库驱动版本匹配，比如pg驱动需适配当前Knex版本。

内容的提问来源于stack exchange，提问作者jawn