如何使用端口隧道通过网络堡垒连接到私有数据库实例？

Question

我有一个可公开访问的网络堡垒example.compute-1.amazonaws.com和一个私有的 postgres 数据库实例postgres.example.us-east-1.rds.amazonaws.com:5432

我可以使用 ssh 进入堡垒

$ ssh -i key.pem ec2-user@example.compute-1.amazonaws.com

然后，一旦我进入堡垒，我就会创建一个 ssh 隧道：

$ ssh -i key.pem -L 5432:postgres.example.us-east-1.rds.amazonaws.com:5432 ec2-user@example.compute-1.amazonaws.com

然后，我可以通过使用 localhost 从堡垒连接到数据库来验证隧道是否正常工作：

$ psql -p 5432 -h localhost -U postgres

但是，我无法远程连接到数据库（不在堡垒中）。

$ psql -p 5432 -h example.compute-1.amazonaws.com -U postgres
psql: could not connect to server: Connection refused
Is the server running on host "example.compute-1.amazonaws.com" () and accepting
TCP/IP connections on port 5432?

我已将堡垒的安全组配置为接受端口 5432 上的入站流量。

我使用ssh -L正确吗？我应该在堡垒外使用它吗？任何建议将不胜感激。

Answer 1

创建 SSH 隧道时，它不会将打开的端口暴露给外界。打开的端口仅作为localhost. 您所做的非常有效的是创建一条从堡垒到堡垒的隧道。

相反，您想要做的是从您的本地计算机通过您的堡垒创建一个隧道。

因此，您创建隧道作为从本地计算机到堡垒的连接的一部分。您不需要创建另一个 SSH 连接。

因此，在本地，您将执行：

$ ssh -i key.pem -L 5432:postgres.example.us-east-1.rds.amazonaws.com:5432 ec2-user@example.compute-1.amazonaws.com

假设 postgres.example.us-east-1.rds.amazonaws.com 解析为私有 IP 地址。

然后连接到你的服务器，仍然是本地的，就像服务器是本地的一样连接：

$ psql -p 5432 -h localhost -U postgres

这样做后，您就无需在堡垒上使用提示了。