Docker部署Postgres SSL连接过慢问题求助

问题 #

我在Docker中运行官方Postgres 13镜像，并配置了自签名SSL证书，相关配置如下：

Docker Compose 定义 #

pg13:
  image: postgres:13
  command: >
    -E
  hostname: postgres
  ports:
    - "10130:5432"
  volumes:
    - ./PGDATA:/PGDATA
    - ./.docker/postgres/initdb.d:/docker-entrypoint-initdb.d
    - ./certs/server.crt:/var/lib/postgresql/server.crt
    - ./certs/server.key:/var/lib/postgresql/server.key
    - ./certs/root.crt:/var/lib/postgresql/root.crt
  environment:
    - PGDATA=/PGDATA
    - POSTGRES_DB=chesco
    - POSTGRES_PASSWORD=chesco
    - POSTGRES_USER=chesco

postgresql.conf 配置 #

ssl=on
ssl_cert_file='/var/lib/postgresql/server.crt'
ssl_key_file='/var/lib/postgresql/server.key'
ssl_ca_file='/var/lib/postgresql/root.crt'

pg_hba.conf 配置 #

hostssl all all all cert

我尝试从主机通过psql连接该数据库，命令如下：

psql "host=localhost dbname=chesco user=chesco port=10130 \
  sslmode=verify-full \
  sslcert=/Users/ivan/work/pg/certs/client.crt \
  sslkey=/Users/ivan/work/pg/certs/client.key \
  sslrootcert=/Users/ivan/work/pg/certs/root.crt"

问题是连接耗时长达1-2分钟，但连接本地Postgres实例时可立即成功（仅修改端口）。环境信息：MacOS v12.3.1 M1，Docker version 20.10.17，build 100c701，证书通过自签脚本生成。

可能的原因与解决方法 #

1. 证书主机名不匹配（verify-full模式下的解析问题） #

sslmode=verify-full 会同时验证证书链和证书中的主机名是否与连接目标匹配。用localhost连接时，Postgres可能会尝试反向解析容器IP，而如果证书的CN/SAN字段未包含localhost或容器主机名postgres，就会触发DNS解析超时，导致连接缓慢。

解决办法：

• 重新生成证书，在server.crt的CN或SAN字段中添加localhost、postgres以及容器IP（可选）；
• 在本地/etc/hosts中添加postgres 127.0.0.1，然后将连接命令中的host=localhost改为host=postgres；
• 临时测试可将sslmode改为verify-ca（仅验证证书链，不检查主机名），确认是否为主机名匹配问题。

2. 容器内证书权限异常 #

Postgres默认以postgres用户运行，如果server.key的权限或所属用户不正确，会导致证书加载或验证过程卡顿。

解决办法：

• 进入容器执行以下命令修正权限：

chmod 600 /var/lib/postgresql/server.key
chown postgres:postgres /var/lib/postgresql/server.key

• 或者修改Docker Compose的command参数，在启动Postgres前自动修正权限：

command: >
  bash -c "chmod 600 /var/lib/postgresql/server.key && chown postgres:postgres /var/lib/postgresql/server.key && postgres -E"

3. M1 Mac Docker网络性能瓶颈 #

M1芯片的Docker在SSL连接的DNS解析、证书验证环节可能存在性能问题，端口转发的额外开销也可能拉长连接时间。

解决办法：

• 尝试直接使用容器IP连接，跳过端口转发；
• 更新Docker到最新版本，修复M1平台的网络相关bug；
• 检查本地DNS设置，确保localhost解析正常，避免解析超时。

4. pg_hba.conf认证顺序问题 #

如果pg_hba.conf中存在其他host类型的规则在hostssl之前，Postgres会先尝试非SSL连接，失败后再重试SSL连接，导致耗时增加。

解决办法：

• 将hostssl all all all cert调整为pg_hba.conf中的第一条规则；
• 重启Postgres容器，让配置生效。

内容的提问来源于stack exchange，提问作者Ivan Grishaev