Nginx反向代理连接AWS PostgreSQL RDS实例失败问题求助

我来帮你排查这个PostgreSQL反向代理连接的问题，既然公有子网的EC2能直接连RDS，那核心问题大概率出在代理的配置或者端口转发的细节上，咱们一步步来：

1. 确认反向代理的协议与配置是否正确 #

PostgreSQL基于TCP协议通信，和你之前正常转发的HTTP请求完全不同，很多代理工具（比如Nginx）需要单独配置TCP转发规则，不能用HTTP的location块来处理。

以Nginx为例，你需要启用stream模块并添加TCP转发配置：

stream {
    server {
        listen 5432; # 代理对外暴露的端口，和RDS端口一致或自定义
        proxy_pass your-rds-private-endpoint:5432; # 替换成RDS的私有端点和端口
        proxy_timeout 30s;
        proxy_connect_timeout 10s;
    }
}

如果之前你用了HTTP相关的配置来转发PostgreSQL请求，那肯定会失败，这是最常见的坑。

2. 检查代理实例的安全组规则 #

• 入站规则：确保允许你用来连接的客户端IP访问代理的目标端口（比如5432）
• 出站规则：必须允许代理实例访问RDS实例的5432端口（因为代理要主动发起连接到RDS）

3. 验证RDS侧的访问控制 #

虽然公有EC2能直接连RDS，但还是要确认：

• RDS的安全组是否允许代理实例的私有IP访问5432端口（代理是从自身私有IP发起连接到RDS的，不是公网IP）
• 确认RDS的「公有可访问性」设置为否（你部署在私有子网，这个应该是正确的，但避免冲突可以核对下）
• 检查VPC网络ACL：确保入站和出站规则都允许TCP 5432端口在代理与RDS之间的流量

4. 用基础工具测试连通性 #

在代理实例上，先测试代理到RDS的连通性：

nc -zv your-rds-private-endpoint 5432

然后在客户端机器上，测试到代理公网IP的连通性：

nc -zv proxy-public-ip 5432

如果第一步通、第二步不通，问题出在代理的端口监听或入站安全组；如果第一步不通，那是代理到RDS的网络或安全组有问题。

5. 排查PostgreSQL的内部连接限制 #

用公有EC2的psql连接RDS后，检查pg_hba.conf规则是否允许代理的IP段：

SELECT * FROM pg_hba_file_rules;

另外确认PostgreSQL的监听地址是否开放：

SHOW listen_addresses;

（RDS默认listen_addresses是*，但可以核对下）

6. 查看代理日志定位具体错误 #

查看代理的日志文件（比如Nginx的/var/log/nginx/stream.log、HAProxy的/var/log/haproxy.log），里面会有明确的失败原因——比如connection refused代表代理连不上RDS，timeout代表网络链路有问题，access denied则可能是PostgreSQL的权限限制。

内容的提问来源于stack exchange，提问作者knutole