如何从VPC内EC2实例安全访问AWS Lightsail MySQL数据库

1. 是否可以通过VPC内部通信实现EC2访问Lightsail数据库？ #

完全可以，你已经完成了VPC对等连接的核心配置，只需补充以下配置即可实现纯内网访问，全程流量不暴露公网：

• 确认对等连接的DNS解析配置已开启：在双方VPC的对等连接设置中，勾选允许对端VPC解析本VPC的DNS记录选项，否则无法正确解析Lightsail数据库的私有端点地址
• 配置两端路由表：EC2所属VPC的路由表添加指向Lightsail VPC网段的路由，下一跳为已创建的对等连接ID；Lightsail侧VPC路由表添加指向EC2所属VPC网段的路由，下一跳为同一对等连接ID
• 配置访问规则：Lightsail数据库的入站访问规则允许EC2的私有IP/EC2所属VPC网段访问3306端口，EC2实例的安全组出站规则允许访问Lightsail数据库私有IP的3306端口
• 连接数据库时使用Lightsail数据库提供的私有端点地址即可

2. 替代的安全连接方案 #

如果VPC内网方案暂时无法落地，可选择以下不需要向全公网暴露数据库的安全方案：

• SSH隧道转发：通过EC2实例建立到Lightsail资源的SSH隧道，将数据库端口映射到EC2本地，流量全程SSH加密，不需要调整数据库公网配置
• 若不得已开启公网模式，可配合IP白名单做访问限制，仅允许可信IP访问，安全性远高于全公网开放

3. Lightsail数据库是否支持IP白名单配置？ #

支持。你可以直接在Lightsail控制台的数据库详情页的网络配置板块自定义允许访问的IP/IP段：

• 未开启公网模式时，白名单仅对私有网络内的访问来源生效
• 开启公网模式后，白名单将对所有公网访问来源生效，仅你添加的IP/IP段可以访问数据库端口，其余所有公网访问会被直接拦截

内容的提问来源于stack exchange，提问作者MTG