postgresql 启用ssl安全连接方式

青旅半醒 2024-03-30 17:11 69阅读 0赞

## SSL的验证流程 ##

![在这里插入图片描述][5057a401c0d246ed9866acc22d412064.png]

## 利用openssl环境自制证书 ##

![在这里插入图片描述][af4c1f22e5aa409f9402e3bc46501328.png]

## CA 证书签发 ##

### 创建私钥ca.key,使用des3算法,有效期2048天 ###

openssl genrsa -des3 -out ca.key 2048

### 生成根CA证书请求（.csr） ###

openssl req -new -key ca.key -out ca.csr -subj "/C=CN/ST=GuangDong/L=GuangZhou/O=example/OU=GZYFZX/CN=example"

### 自签名得到公钥根证书（.crt) ###

openssl x509 -req -days 2048  -in ca.csr -signkey ca.key -out ca.crt

## 服务器证书签发 ##

### 生成服务器私钥 ###

openssl genrsa -des3 -out server.key 2048

### 生成服务端证书签名请求 ###

openssl req -new -key server.key -out server.csr -subj "/C=CN/ST=GuangDong/L=GuangZhou/O=example/OU=GZYFZX/CN=PGServer"

### 使用ca根证书对服务器证书签名生成公钥 ###

openssl x509 -req  -days 2048 -sha256 -CA ca.crt -CAkey ca.key  -CAcreateserial -in server.csr -out server.crt

## 客户端证书 ##

### 生成客户端私钥 ###

openssl genrsa -des3 -out postgresql.key 2048

### 生成客户端证书签名请求 ###

openssl req -new -key postgresql.key -out postgresql.csr -subj "/C=CN/ST=GuangDong/L=GuangZhou/O=example/OU=GZYFZX/CN=PGClient"

### 使用ca根证书对客户端证书签名生成公钥 ###

openssl x509 -req  -days 2048 -sha256 -CA ca.crt -CAkey ca.key  -CAcreateserial -in postgresql.csr -out postgresql.crt

## pg配置postgresql.conf修改 ##

直接 cp ca.crt root.crt 使用ca的就可以。  
我们一般会配置ssl、ssl\_cert\_file、ssl\_key\_file这三个，其他的一般维持默认值。这是三个参数分别的含义如下：

ssl: 是否支持SSL连接。默认是关闭的。

ssl\_cert\_file:指定包含SSL服务器证书的文件的名称。默认是server.crt。相对路径相对于数据目录。

ssl\_key\_file:指定包含SSL服务器私钥的文件的名称。默认是server.key。相对路径相对于数据目录。

ssl = on
    ssl_ca_file = 'root.crt'
    ssl_cert_file = 'server.crt'
    ssl_key_file = 'server.key'

将ssl设置为on，即表示打开ssl。SSL打开后，此时服务器将侦听同一TCP端口上的正常连接和SSL连接，并与任何连接客户机协商是否使用SSL。

注意：

（1）要在SSL模式下启动，必须包含服务器证书和私钥的文件。默认情况下，这些文件将被命名为server.crt和server.key。但是可以使用配置参数ssl\_cert\_file和ssl\_key\_file指定其他名称和位置。

（2）配置了SSL=on，并不代表会确保所有客户端总是通过SSL连接, 它只是表示允许使用SSL。如果想要确保所有连接都是用ssl, 还需要结合pg\_hba.conf进行配置。比如添加类似“hostssl all all 0.0.0.0/0 md5 \\n hostnossl all all 0.0.0.0/0 reject” 这样的配置。

[5057a401c0d246ed9866acc22d412064.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/1823327f533743eca45b0d437179f2b4.png
[af4c1f22e5aa409f9402e3bc46501328.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/4b5fcb6b0d2d4f72a8a74fff6dde2a5c.png