Supervisão estúpida, mas vou deixar isso de lado se ajudar alguém.

Minhas sub-redes privadas no VPC-RDS usam uma tabela de rotas diferente da sub-rede pública. Isso é feito para que os endereços da Internet (para a regra catch all 0.0.0.0/0 ) apontam para o gateway NAT em oposição ao gateway da Internet na sub-rede pública.

Adicionei uma regra à tabela de rotas das sub-redes privadas para a conexão de peering (172.20.0.0/16 -> pcx-112233 ) e, em seguida, configurou o db security group para aceitar o tráfego TCP na porta 5432 de 172.20.0.0/16 .