ECS部署的Flask应用运行时无法连接同VPC私有子网的Postgres RDS

1. 优先修正RDS安全组配置 #

你当前的RDS入站规则绑定EC2私有IPv4地址的方式健壮性差，容易出现匹配问题，改为安全组引用规则：

• 进入RDS安全组的入站规则配置页
• 新增规则：类型选PostgreSQL（端口5432），源直接选择你的EC2实例关联的安全组ID，无需填写具体IP地址
• 保存规则后等待1分钟生效

该配置逻辑为：所有关联了对应EC2安全组的资源（包括跑在EC2上的ECS任务容器），都可以访问RDS的5432端口，避免IP变动、容器网络模式差异导致的IP不匹配问题。

2. 验证ECS任务的网络链路 #

无需在ECS侧配置SSH隧道，同一VPC内部的资源可以直接内网互通，按以下步骤验证网络可用性：

• 登录运行ECS任务的EC2实例，执行命令nslookup <你的RDS Endpoint>，确认解析结果为RDS的私有IP，无解析错误
• 继续在EC2实例上执行命令telnet <你的RDS Endpoint> 5432，如果可以连通说明网络链路正常，问题出在应用配置层面。

3. 修正应用数据库连接配置 #

如果网络验证正常，调整连接配置：

• 优先替换pg8000驱动为兼容性更好的psycopg2-binary，在requirements.txt中添加psycopg2-binary>=2.9.5
• 修改数据库URI为：postgresql://username:password@<RDS Endpoint>:5432/db，无需额外加pg8000后缀
• 确认URI无多余空格、特殊字符转义错误，若密码中包含@、/等特殊字符需要做URL编码
• 如果你坚持使用pg8000驱动，确认URI格式为postgresql+pg8000://username:password@<RDS Endpoint>:5432/db，注意前缀是postgresql不是postgres，部分版本的SQLAlchemy不兼容postgres缩写。

4. 额外排查项 #

• 确认RDS实例的「公开访问」选项处于关闭状态（私有子网部署的RDS无需开启公网访问）
• 确认VPC的DNS解析、DNS主机名选项均为开启状态，避免Endpoint解析失败
• 检查ECS任务执行角色是否配置了特殊网络限制策略，默认场景下不会有这类限制，该问题优先级最低。

内容的提问来源于stack exchange，提问作者James