阿里云国际 RDS 连不上怎么排查：白名单、网络类型与连接地址的三层原因

应用连不上阿里云国际 RDS 时，报错信息往往只有一句连接超时或拒绝，看不出原因。这类问题的根源集中在三层：网络可达性、实例访问控制、数据库账号权限。按层级从外往里排查，比逐个猜测有效得多。

先确认用的是哪个连接地址

RDS 通常提供内网地址和外网地址两套连接端点，两者的适用场景完全不同。

内网地址只能从同一专有网络内的资源访问，比如同地域同 VPC 里的 ECS。它不经过公网，延迟低且不产生公网流量费用，是生产环境的常规选择。

外网地址面向公网访问，适合本地调试、跨环境的临时连接或不在同一 VPC 的客户端。它需要单独申请开启，默认可能并未启用。

最常见的错误是拿着内网地址从本地电脑直连，或者拿着外网地址却没有申请开通。确认清楚客户端所在位置，再选对应地址，能排掉相当一部分问题。

白名单是第二道关

即使地址选对，访问仍会被访问控制拦下。RDS 的白名单记录允许连接的来源地址，不在名单内的请求会被直接拒绝。

配置白名单时要填对来源。客户端在同 VPC 内时，填的是它的内网地址；客户端从公网访问时，填的是它的公网出口地址。这里容易出错的地方在于，本地网络的公网出口地址常常是动态的，今天能连明天就连不上，看起来像间歇性故障。

需要注意的是不要为了省事把白名单放开到全部地址。数据库直接暴露给公网扫描，风险远高于配置几条白名单的麻烦。如果确实需要频繁从不固定地址访问，更合适的做法是通过一台固定的跳板机进入，只把跳板机的地址加入白名单。

网络类型不一致会导致内网也不通

同一地域内的资源并不自动互通。如果 ECS 与 RDS 分属不同的专有网络，即使都在同一地域，用内网地址也连不上，因为两个 VPC 之间默认没有路由。

这种情况有两种处理方向：把资源调整到同一 VPC 内，或者在两个 VPC 之间建立互通。前者更简单，适合新建环境时就规划好；后者适合已有资源无法迁移的情况。

另外要留意历史环境。经典网络与专有网络是两套不同的网络体系，跨体系访问需要额外手段，不能按同 VPC 的方式处理。

第三层是数据库账号

网络通了、白名单过了，还可能卡在账号层面。典型表现是能建立连接但认证失败，或者认证通过却读不到目标库。

要确认三件事：账号密码是否正确、该账号是否被授权访问目标数据库、账号是否有对应操作的权限。只读账号执行写入会被拒绝，这类报错容易被误判为连接问题。

密码里包含特殊字符时要特别小心。在连接字符串或环境变量中未正确转义，会导致密码被截断，表现为认证失败。

连接数耗尽的识别

如果连接时而成功时而失败，且失败集中在业务高峰，很可能是连接数达到上限。这种问题的特征是与网络配置无关，重启应用后短暂恢复，随后再次出现。

根因通常在应用侧：没有使用连接池，或者连接池配置过大、连接未正确释放。每个应用实例都开一个大连接池，实例一多总量就会超出实例规格允许的范围。

处理方向是先在应用侧收敛连接池大小并确认连接会被归还，再评估实例规格是否需要调整。单纯升配而不修连接泄漏，问题会在更高的量级重现。

一个可复用的排查顺序

第一步，在客户端所在机器上测试到 RDS 端点的网络连通性，确认是网络不通还是能连上但被拒。第二步，核对白名单里是否包含客户端的真实来源地址。第三步，用数据库客户端单独验证账号密码与库权限，把应用配置排除在外。第四步，观察失败是否与时间和负载相关，判断是否为连接数问题。

按这个顺序走，每一步都能排掉一类原因，不需要反复修改配置试错。

用命令逐层验证

排查时不要直接改配置，先用命令把问题定位到具体某一层。

第一层验证网络可达。在客户端所在机器上测试到数据库端点和端口的连通性。如果连接被拒绝或超时，问题在网络或白名单，不必往下看。这里要注意区分两种失败：连接被明确拒绝，通常意味着到达了目标但被拦下；连接超时无响应，更像是路由不通或安全策略直接丢包。

第二层验证认证。网络通了之后，用数据库客户端单独连接，只做登录不执行业务查询。这一步失败说明账号或密码有问题，与应用配置无关。

第三层验证权限。登录成功后手工执行一条最简单的查询，确认能读到目标库和表。这一步失败说明授权范围不对。

第四层才是用应用去连。前三层都通过而应用仍然失败，问题就在应用的配置或连接字符串上，比如端口写错、库名写错、密码里的特殊字符未转义。

按这个顺序走，每一步的结论都是确定的，不会出现改了半天配置却不知道改对了哪一项的情况。

高可用地址与只读地址别混用

实例可能提供多个连接端点，用途不同。

主实例地址用于读写。高可用地址在主备切换时会指向新的主节点，应用连这个地址可以在切换后自动恢复，而不需要改配置。如果应用直连了某个具体节点，切换后就连不上了。

只读地址用于分担查询压力。把报表、统计、导出这类重查询指向只读端点，能减少对主库的影响。但要注意只读端点存在数据同步延迟，刚写入的数据可能读不到。业务上如果要求写完立刻能读到，这类查询必须走主库。

配置时把不同用途的连接分开管理，比在应用里用一个地址应付所有场景更稳妥。混用最典型的后果是偶发的"数据刚存进去就查不到"，而这种问题极难复现和定位。

腾讯云国际和阿里云国际商品当前开放；AWS 与 Google Cloud 商品目前未开放，本文不提供相关导流。可用连接方式、白名单能力与实例规格限制均以对应国际站控制台实时信息为准。

官方来源

常见问题

阿里云国际 RDS 连不上怎么排查需要注意什么？

操作前先确认账号属于阿里云国际对应站点，并备份关键数据或记录当前配置。按本文步骤完成后做一次验证。需要账号可申请账号，续费见自助充值。

出错后如何快速回滚或止损？

优先恢复到变更前的快照、镜像或原规则；若涉及计费或销毁类操作，先停止继续变更，再按官方控制台状态与工单路径处理。不确定时不要反复点击高危按钮。

没有对应云账号时怎么开始？

可先通过申请账号开通国际云账号，再用自助充值完成额度准备。新账号建议先完成 MFA、访问密钥收敛与费用告警，再部署业务。