auth proxy连接AlloyDB TCP 5433端口i/o超时如何排查解决

故障报错信息 #

dial tcp:5433 timeout on the auth proxy end when trying connect local private IP address of the AlloyDB instance i/o timeout
failed to connect to instance: Dial error: failed to dial (instance URI = "projects/myproject/locations/us-central1/clusters/mycluster/instances/myprimary"): dial tcp 10.205.117.5:5433: i/o timeout
核心故障特征：AlloyDB Auth Proxy 向目标实例私有IP10.205.117.5的5433端口发起TCP连接时触发i/o超时，连接建立失败。

常见故障诱因 #

• 私有网络未打通：运行Auth Proxy的主机与AlloyDB实例不在同一VPC连通域内，缺少到目标私有IP段的有效路由，三层网络不可达
• 流量被访问控制规则拦截：VPC防火墙、云安全组、主机本地防火墙（iptables/firewalld等）未放通源地址到AlloyDB实例5433端口的TCP流量
• 连接模式配置错误：Auth Proxy启动时未指定私有IP连接模式，错误走公网解析链路，无法路由到私有地址
• 私有服务访问（PSA）配置异常：AlloyDB依赖的PSA对等连接中断、IP段重叠冲突，导致私有流量无法正常转发到托管实例
• 实例侧异常：AlloyDB实例处于故障、重启、维护状态，未正常监听5433端口，或实例绑定的私有IP与报错中IP不匹配

排查步骤 #

1. 基础连通性校验

• 登录运行Auth Proxy的主机，执行nc -zv 10.205.117.5 5433或telnet 10.205.117.5 5433测试端口连通性，如果直接返回超时，先排查三层/四层链路问题
• 检查主机侧路由表，确认存在到10.205.117.5所在网段的有效下一跳路由，不存在路由黑洞

2. 访问控制规则校验

• 核对VPC入站防火墙规则、AlloyDB绑定的安全组规则，确认放通Auth Proxy主机所属IP段到5433端口的TCP入站流量
• 核对主机侧出站规则、主机绑定的安全组出站规则，确认未拦截到目标10.205.117.5:5433的出站请求
• 检查AlloyDB实例配置的IP访问控制列表，确认未拦截当前请求源IP

3. 配置与实例状态校验

• 登录云控制台查看目标AlloyDB实例状态，确认实例处于「运行中」状态，无未完成的运维操作，核对实例绑定的私有IP与报错中10.205.117.5一致
• 检查Auth Proxy启动命令，确认是否携带--private-ip参数，无公网连接相关的错误配置

4. PSA配置校验

• 查看VPC对等连接列表，确认AlloyDB依赖的私有服务访问对等连接处于「已连接」状态，无中断、删除情况
• 核对VPC网段分配，确认本地VPC网段与AlloyDB托管服务分配的PSA网段无重叠，避免路由冲突

修复方案 #

• 打通私有网络：如果运行Auth Proxy的主机与AlloyDB不在同一VPC，通过VPC对等连接、Cloud VPN、云专线打通两侧网络，添加对应路由保证目标私有IP三层可达
• 放通访问规则：在防火墙、安全组、主机本地防火墙中添加双向规则，放通Auth Proxy源IP到AlloyDB实例5433端口的TCP流量
• 修正Proxy启动参数：启动Auth Proxy时明确携带--private-ip参数，强制走私有IP链路连接，参考命令：

./alloydb-auth-proxy projects/myproject/locations/us-central1/clusters/mycluster/instances/myprimary --private-ip

• 修复PSA配置：如果PSA对等连接失效，重新配置私有服务访问，分配无冲突的IP段，重建对等连接与对应路由规则
• 恢复实例状态：如果实例本身处于异常状态，等待运维操作完成，或触发实例重启，待实例状态恢复为运行中后重试连接

内容的提问来源于stack exchange，提问作者Diego Cumbicus