PostgreSQL 中如何配置 SSL/TLS？

推荐答案

在 PostgreSQL 中配置 SSL/TLS 的步骤如下：

1. 生成 SSL 证书和密钥：

   • 使用 OpenSSL 生成自签名证书和密钥：

     openssl req -new -x509 -days 365 -nodes -text -out server.crt -keyout server.key -subj "/CN=your_domain.com"
     chmod 600 server.key

   • 将生成的 server.crt 和 server.key 文件放置在 PostgreSQL 的数据目录中。

2. 配置 PostgreSQL：

   • 编辑 postgresql.conf 文件，启用 SSL 并指定证书和密钥文件路径：

     ssl = on
     ssl_cert_file = 'server.crt'
     ssl_key_file = 'server.key'

   • 如果需要配置客户端证书验证，可以设置：

     ssl_ca_file = 'root.crt'

3. 配置客户端认证：

   • 编辑 pg_hba.conf 文件，配置客户端连接时使用 SSL：

     hostssl all all 0.0.0.0/0 md5 clientcert=1

4. 重启 PostgreSQL 服务：

   • 重启 PostgreSQL 服务以使配置生效：

     sudo systemctl restart postgresql

5. 验证配置：

   • 使用 psql 或其他客户端工具连接数据库，验证 SSL 是否生效：

     psql "host=your_domain.com dbname=your_db user=your_user sslmode=require"

本题详细解读

1. SSL/TLS 的作用

SSL/TLS 是一种加密协议，用于在网络通信中保护数据的隐私和完整性。在 PostgreSQL 中启用 SSL/TLS 可以确保客户端与服务器之间的数据传输是加密的，防止数据被窃听或篡改。

2. 生成 SSL 证书和密钥

SSL/TLS 配置的第一步是生成服务器证书和私钥。通常使用 OpenSSL 工具生成自签名证书，适用于开发和测试环境。在生产环境中，建议使用受信任的证书颁发机构（CA）签发的证书。

3. 配置 PostgreSQL

在 postgresql.conf 文件中，通过设置 ssl = on 来启用 SSL 支持。ssl_cert_file 和 ssl_key_file 分别指定服务器证书和私钥的路径。如果需要客户端证书验证，可以配置 ssl_ca_file 来指定 CA 证书。

4. 配置客户端认证

在 pg_hba.conf 文件中，使用 hostssl 关键字来指定哪些客户端连接必须使用 SSL。clientcert=1 表示要求客户端提供证书进行验证。

5. 重启 PostgreSQL 服务

配置完成后，必须重启 PostgreSQL 服务以使更改生效。

6. 验证配置

通过使用 psql 或其他客户端工具连接数据库，并指定 sslmode=require 来验证 SSL 配置是否成功。如果连接成功，说明 SSL/TLS 配置已正确生效。