无法从本地连接AWS Aurora Postgres实例的问题求助

以下是针对你遇到的连接超时问题的逐一排查步骤：

1. 检查RDS集群/实例的安全组配置 #

安全组是导致连接超时最常见的原因，需确保：

• 安全组入站规则允许你的本地公网IP（或临时放开0.0.0.0/0用于测试）访问5432端口（PostgreSQL默认端口）
• 安全组出站规则允许所有流量（或至少允许返回至你本地IP的流量）

你可以通过Terraform补充安全组资源，或者在AWS控制台手动配置：

# 示例：创建并关联安全组到RDS集群和实例
resource "aws_security_group" "rds_public_access" {
  name        = "rds-public-access"
  description = "Allow public access to RDS Postgres"
  vpc_id      = aws_vpc.default.id # 替换为你的默认VPC ID

  ingress {
    from_port   = 5432
    to_port     = 5432
    protocol    = "tcp"
    cidr_blocks = ["YOUR_LOCAL_PUBLIC_IP/32"] # 替换为你的本地公网IP，如114.xx.xx.xx/32
  }

  egress {
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

# 更新集群配置，关联安全组
resource "aws_rds_cluster" "operational_postgresql" {
  # 原有配置...
  vpc_security_group_ids = [aws_security_group.rds_public_access.id]
}

# 更新实例配置，关联安全组
resource "aws_rds_cluster_instance" "operational_postgresql_db_dev" {
  # 原有配置...
  vpc_security_group_ids = [aws_security_group.rds_public_access.id]
}

2. 验证子网路由表配置 #

即便VPC已关联互联网网关，仍需确认RDS实例所在子网的路由表包含正确的公网路由：

• 进入AWS VPC控制台，找到RDS实例所属子网
• 查看子网关联的路由表，确认存在0.0.0.0/0指向互联网网关（格式为igw-xxxxxx）的路由条目

3. 检查网络访问控制列表（NACL） #

NACL是VPC的第二层防火墙，需确保：

• 入站规则允许5432端口的流量从你的本地IP进入
• 出站规则允许所有返回流量（或至少允许从5432端口到你本地IP的流量）
  默认NACL通常允许所有流量，但如果有自定义配置，需排查是否存在拦截规则

4. 确认RDS实例的公有IP状态 #

虽然你设置了publicly_accessible = true，仍需实例确实分配了公有IP：

• 在AWS RDS控制台查看实例详情，确认「公有可访问性」为「是」，且端点对应的IP为公网IP（而非172.xx、192.168等私有IP段）

5. 本地网络连通性测试 #

• 使用telnet aurora-postgres-cluster.cluster-XXXXXXXXX.eu-west-1.rds.amazonaws.com 5432或nc -zv 52.XXX.XXX.XXX 5432测试端口连通性，判断是否是本地网络（如公司防火墙、家庭路由器）拦截了5432端口
• 如果telnet也超时，说明问题在网络层面；如果telnet能连通，再检查psycopg2的连接字符串（用户名、密码、数据库名是否与Terraform配置一致）

6. 检查PostgreSQL参数组配置（可选） #

Aurora默认允许远程连接，但可通过参数组确认：

• 查看RDS集群使用的参数组，确认listen_addresses设置为*（Aurora通常默认配置）
• 确认pg_hba.conf规则允许公网IP连接（Aurora会根据安全组自动配置，一般无需手动修改）

内容的提问来源于stack exchange，提问作者Boris