AWS VPC关联安全组数据库访问配置与问题排查

核心故障根因 #

• 首先要明确AWS安全组是有状态的四层防火墙，所有入站规则配置的端口范围，匹配的是进入实例流量的目的端口，和请求发起方的源端口完全无关——安全组本身不支持、也不需要校验请求的源端口。
• 你遇到的“同绑一个App-SG的实例，用3306连DB通、3310连就被拒”的问题，根本不是源端口被拦，本质是两个认知误区导致的：
  1. 测试场景完全混淆了源端口和目标端口：正常TCP客户端连接数据库时，源端口由操作系统随机分配（范围通常1024-65535），根本不会手动固定为3306/3310；你所谓的“用3306端口连接”实际是访问数据库的3306服务端口（目标端口），“用3310端口连接”实际是访问数据库的3310服务端口——而DB侧的安全组只开放了3306的入站，自然会拒绝3310目标端口的请求，这和你配置的全端口出站规则没有任何关系。
  2. 跨安全组引用配置方向搞反：很多人写CloudFormation时会把安全组引用的SourceSecurityGroupId填错，甚至把安全组规则和网络ACL的无状态逻辑搞混，错误地在规则里增加了源端口匹配的逻辑，导致正常流量被拦截。

替代CIDR硬编码的优雅权限方案 #

相比在单个安全组里硬编码私网、公网的所有CIDR网段，AWS官方推荐的跨安全组引用方案是完全可行的，核心架构逻辑如下：

• 拆分两个权限边界清晰的安全组，避免网段规则耦合：
  1. DBAccessSourceSG：作为所有需要访问数据库的实例（包括私网微服务、公网Bastion主机）的统一绑定安全组。这个SG本身不绑定任何数据库相关的规则，仅根据实例自身的业务需求配置入站规则（比如给Bastion开放22端口的SSH访问）。
  2. DBSecurityGroup：专门绑定给数据库实例的安全组，仅配置入站规则：允许来源为DBAccessSourceSG的TCP流量，目的端口为3306。
• 这种方案的核心优势：
  • 不需要随着VPC子网扩容、可用区新增反复维护CIDR规则，只要把实例绑定到DBAccessSourceSG，就自动获得数据库访问权限，实例解绑SG后自动失去权限。
  • 彻底避免把公网IP段直接开放到数据库安全组的风险，Bastion主机的权限收敛到最小范围。
  • 权限管控粒度从“网段放行”升级为“实例级授权”，比硬编码CIDR的可维护性高很多。

关于“DB仅开3306、应用侧源端口不受限”的可行性验证 #

你设想的思路完全可行，AWS安全组的有状态特性天然支持这个需求，正确的配置逻辑不需要额外处理应用侧的源端口：

• 数据库侧安全组仅需要放行目的端口3306的入站流量，来源指定为DBAccessSourceSG即可。因为安全组是有状态的，只要允许了入站的SYN连接请求，对应的回程响应流量会自动放行，不管应用用的是什么随机源端口。
• 应用侧安全组的出站规则，只需要允许访问DBSecurityGroup的3306目的端口即可，不需要配置全端口出站规则——因为出站规则匹配的是离开应用流量的目的端口，和应用自身用什么源端口发起请求没有任何关系。

之前配置的常见错误修正 #

• 不要在应用侧安全组配置全端口到任意地址的出站规则，最小化权限只开放到DB的3306端口即可，避免安全组过度宽松带来的风险。
• 测试源端口不受限的正确方式：使用网络工具指定本地源端口发起连接，比如执行nc -p 3310 <数据库私有IP> 3306，只要规则配置正确，不管你指定的本地源端口是3310还是其他任意高端口，都能正常建立连接——安全组根本不会拦截这类流量。
• 不要混淆安全组和网络ACL的逻辑：安全组是有状态的，不校验源端口；网络ACL是无状态的，需要同时配置入站、出站的端口规则，不要把NACL的配置思路套用到安全组上。

参考的CloudFormation配置片段 #

# 数据库专用安全组
ProdDBSecurityGroup:
  Type: AWS::EC2::SecurityGroup
  Properties:
    GroupDescription: 生产数据库访问控制组
    VpcId: !Ref TargetVpcId
    SecurityGroupIngress:
      - IpProtocol: tcp
        FromPort: 3306
        ToPort: 3306
        SourceSecurityGroupId: !Ref DBAccessSourceSG
    # 数据库无主动外连需求时，可配置空的出站规则
    SecurityGroupEgress: []

# 具备数据库访问权限的通用实例安全组
DBAccessSourceSG:
  Type: AWS::EC2::SecurityGroup
  Properties:
    GroupDescription: 可访问生产库的实例绑定组
    VpcId: !Ref TargetVpcId
    SecurityGroupIngress:
      # 按需配置Bastion主机的SSH访问规则
      - IpProtocol: tcp
        FromPort: 22
        ToPort: 22
        CidrIp: !Ref AllowedSSHSourceCidr
    SecurityGroupEgress:
      # 仅允许访问数据库的3306端口，不要开放全端口
      - IpProtocol: tcp
        FromPort: 3306
        ToPort: 3306
        DestinationSecurityGroupId: !Ref ProdDBSecurityGroup

内容的提问来源于stack exchange，提问作者Vijay Nandwana