从EC2实例i-78a8df00，我正在尝试连接到RDS实例mysql.************.us-east-1.rds.amazonaws.com。它们都位于美国东部地区。我将EC2实例的安全组（sg-********）添加到了RDS安全组中，但这并没有帮助解决问题。当运行此命令时，似乎存在防火墙/DNS问题，因为它会超时：
ubuntu@ip-10-195-189-237:~$ mysql -h mysql.************.us-east-1.rds.amazonaws.com
错误2003（HY000）：无法连接到'mysql.************.us-east-1.rds.amazonaws.com'上的MySQL服务器（110）
我可以使用与上述相同的语句从本地计算机成功连接到RDS实例。 我尝试了各种论坛解决方案，但这些都没有帮助。
我也遇到过类似的问题，当我创建一个新的EC2实例时，忘了在RDS安全组的入站IP地址选项中更改允许连接到我的RDS实例的3306端口的设置。
令人困惑的是RDS仪表板中的一个选项，称为"安全组"。但你不需要它来解决问题。
你真正需要做的是：
这应该会打开一个新的浏览器标签页或窗口，显示安全组的详细信息。 在底部找到几个选项卡，选择“入站规则”选项卡，然后点击“编辑”按钮。
将值更改为你的EC2实例的IP地址或IPv4 CIDR块，例如：
174.33.0.0/16
要获取此值，你可以通过ssh进入实例并运行ip addr命令，或者在浏览器中运行EC2 Manager并查找实例详细信息中的“私有IP”值。
针对可能遇到连接RDS或RedShift的类似问题的人提供额外信息：
1) 检查安全组
验证RDS实例的安全组是否允许来自源服务器所属的安全组（或其直接添加的IP）的访问。您应该查看的安全组是从RDS控制台UI中指定的RDS实例属性的安全组（命名为“安全组”）。
注意：数据库安全组与AWS EC2安全组可能不同。如果您的RDS实例在classic/public EC2中，则应该在RDS UI的“数据库安全组”部分进行检查。对于VPC用户，安全组将是一个普通的VPC安全组（名称sg-xxx将在RDS实例的属性中列出）。
2) 确认DNS不是问题。
亚马逊使用分裂DNS，因此在AWS外部进行DNS查找将返回公共IP，而在AWS内部进行查找将返回私有IP。如果您怀疑这是DNS问题，那么您是否确认不同可用区返回不同的IP？如果不同AZ获取不同的IP，则需要联系AWS支持。
3) 通过建立套接字连接来确认网络连接。
像tracepath和traceroute这样的工具可能没有帮助，因为RDS当前会丢弃ICMP流量。
尝试通过在端口3306（mysql）或5432（postgres）上建立套接字连接来测试端口连接。首先找到RDS实例的IP，然后使用telnet或nc：
telnet x.x.x.x 3306
nc -vz x.x.x.x 3306
a) 如果您的连接尝试不成功并立即失败，则端口可能被阻止或远程主机未在该端口上运行服务。您可能需要联系AWS支持进行进一步故障排除。如果从AWS之外连接，请先尝试从AWS内的另一个实例进行连接（因为您的防火墙可能会阻止这些连接）。
b) 如果您的连接不成功并出现超时，则可能是防火墙丢弃/忽略数据包或数据包返回的网络路径不同。您可以通过运行netstat -an | grep SYN来确认此问题（从不同的CLI窗口/会话中运行并等待telnet / nc命令超时）。处于SYN状态的连接意味着您已发送连接请求，但没有收到任何回应（SYN_ACK或拒绝/阻止）。通常，这意味着防火墙或安全组正在忽略或丢弃数据包。
请检查是否在主机和RDS实例之间使用iptables或NAT网关。如果您在VPC中，请确保允许源主机的出站流量。
c) 如果套接字连接测试成功，但您无法使用mysql客户端（CLI、工作台、应用程序等）连接，请查看netstat的输出以查看连接状态（将x.x.x.x替换为RDS实例的实际IP地址）：
netstat -an | grep x.x.x.x
如果使用telnet或NC时正在建立连接，但是在使用mysql客户端时看到“SYN”状态，则可能遇到MTU问题。
当撰写本文时，RDS可能不支持用于PMTUD的ICMP数据包（https://en.wikipedia.org/wiki/Path_MTU_Discovery#Problems_with_PMTUD）。如果您尝试通过ClassicLink从经典EC2实例访问位于VPC中的RDS或RedShift，则可能会出现问题。请尝试使用以下方法降低MTU，然后再次测试：
sudo ip link show
# take note of the current MTU (likely 1500 or 9001)
sudo ip link set dev eth0 mtu 1400
如果较低的MTU可行，请务必跟进AWS客户支持以寻求帮助，并提及在连接到您的RDS实例时遇到了MTU问题。如果TCP数据包被封装进行隧道传输，则会导致数据包/有效负载的可用MTU降低。将源服务器上的MTU降低，允许封装的数据包仍适合限制范围内。
如果不起作用，请将MTU设置回默认值并联系AWS支持进行进一步故障排除。
虽然 Mark 的问题似乎与多AZ路由和 EC2 经典有关，但我今天也遇到了完全相同的问题。
为了解决这个问题，我通过添加我的 EC2 实例的两个私有IP地址来修改了自动创建的 RDS 实例的安全组。
这是一个相当明显的问题，但我对AWS整体都比较新，希望像我这样的其他人能从中受益。
我挣扎了三天后，终于发现为什么我的连接没有成功...
在您的EC2实例上添加端口3306的出站规则，并在您的RDS服务器上添加端口3306的入站规则。入站值应该是EC2实例的安全性。
例如：
因此，请转到编辑sg.ec2的出站规则，并添加端口3306的自定义TCP和目标为0.0.0.0/0。
然后，转到编辑sg.rds的入站规则，并添加一个源为sg.ec2的3306端口的入站规则。
看起来在最后一次发布和这次发布之间，亚马逊解决了DNS路由问题，因为现在多可用区RDS的一切都正常工作...
我遇到了同样的问题，我无法从EC2实例连接到RDS，这两个资源都在同一个VPC和多AZ设置中。
对我来说，多AZ设置不是问题。
我只是缺少了从我的EC2实例安全组到我的RDS安全组的出站规则3306。
PROMPT> mysql -h <endpoint> -P 3306 -u <mymasteruser> -p
其中endpoint和mymasteruser(用户名)来自您的RDS实例。
我通过直接使用IP公共地址(端点的)而不是端点(****.us-east-1.rds.amazonaws.com)解决了这个问题。您可以使用“ping”命令(ping ****.us-east-1.rds.amazonaws.com)获取IP公共地址。