Debian 上部署 PostgreSQL 的网络配置要点
一 核心配置清单
- 监听与端口：在 postgresql.conf 中设置 listen_addresses = ‘*’（或指定内网接口），确认 port = 5432；默认仅本地监听，需显式放开远程监听。
- 客户端认证：在 pg_hba.conf 中为需要的来源网段添加规则，例如：
- 仅内网：host all all 192.168.1.0/24 scram-sha-256
- 任意来源（不推荐生产）：host all all 0.0.0.0/0 scram-sha-256
建议使用 scram-sha-256 而非 md5。
- 防火墙放行：在 UFW 中执行 sudo ufw allow 5432/tcp；如使用 iptables，放行 TCP 5432 并持久化规则。
- 服务重启：修改后执行 sudo systemctl restart postgresql（或带版本的服务单元）。
- 路径提示：Debian 常见实例配置目录为 /etc/postgresql/{version}/main/（如 /etc/postgresql/15/main/）。
二 文件与参数示例
- postgresql.conf（关键项）
- listen_addresses = ‘*’
- port = 5432
- pg_hba.conf（示例规则，按最小权限原则收紧）
-
本地 Unix 域套接字
local all all peer
-
本地环回
host all all 127.0.0.1/32 scram-sha-256
-
内网网段
host all all 192.168.1.0/24 scram-sha-256
-
如需临时开放公网（务必限制来源并尽快收敛）
host all all 0.0.0.0/0 scram-sha-256
- 说明：Debian 默认仅本地访问，必须同时调整 postgresql.conf 与 pg_hba.conf 才能远程连接。
三 连通性验证与排障
- 本机监听与端口：ss -lntp | grep 5432 或 netstat -tlnp | grep 5432，应看到 0.0.0.0:5432 或指定接口的监听。
- 端口连通性：从客户端测试 nc -zv 服务器IP 5432 或 telnet 服务器IP 5432。
- 应用连接：psql -h 服务器IP -p 5432 -U 用户名 -d 数据库。
- 日志排查：/var/log/postgresql/postgresql-{version}-main.log 可快速定位认证失败、监听地址不匹配等问题。
四 安全与最佳实践
- 最小暴露面：优先仅放行受控网段（如 192.168.1.0/24），避免使用 0.0.0.0/0；云环境配合 安全组/NACL 做白名单。
- 强认证与口令策略：使用 scram-sha-256，为 postgres 及业务角色设置强密码并定期轮换。
- 加密传输：在 postgresql.conf 启用 ssl = on，配置服务器证书与私钥，强制或优先使用 SSL/TLS 连接。
- 主机解析：确保客户端可解析数据库主机名（配置 DNS 或 /etc/hosts），避免因解析失败导致连接异常。
- 变更管控：变更前备份 postgresql.conf 与 pg_hba.conf，变更后按序重载并观察日志与监控。
