无法通过pg_hba.conf限制PostgreSQL数据库的远程访问

可能的问题原因 #

• 规则顺序错误：pg_hba.conf按从上到下的顺序匹配规则，若你的特定IP允许规则排在宽泛规则（如host all all 0.0.0.0/0 md5）之后，会优先触发前面的允许规则，导致新配置不生效。
• 修改了错误的配置文件：PostgreSQL实际加载的pg_hba.conf可能不是你编辑的那个，存在多实例或路径配置错误的情况。
• 配置重载未成功：pg_ctl reload执行时可能因权限不足、数据目录路径错误等原因失败，配置未更新。
• 残留宽泛规则未移除：配置文件中仍存在允许所有IP访问的规则，未被注释或删除。
• 连接方式未被限制：若测试用的是服务器本机的socket连接，会匹配pg_hba.conf中的local规则，不受host类型规则的限制。

解决建议 #

• 调整规则顺序：将host all all <backend-server-ip>/32 md5这条规则移动到所有宽泛允许规则的最前面，确保优先匹配。
• 确认正确的配置文件路径：登录PostgreSQL执行SHOW hba_file;，输出的路径即为当前实例使用的pg_hba.conf路径，验证你修改的是否是该文件。
• 确保配置重载生效：
  • 执行pg_ctl -D /path/to/postgres/data/ reload后，检查PostgreSQL日志（通常在data目录下的pg_log文件夹），确认存在reconfiguration completed的日志条目。
  • 若服务器用systemd管理PostgreSQL，建议使用systemctl reload postgresql命令重载，权限更可靠。
• 清理冗余规则：找到配置文件中所有允许非特定IP的规则（如host all all 0.0.0.0/0 md5、host all all ::/0 md5），用#注释或直接删除。
• 限制本地连接（可选）：若需要限制服务器本机的访问，修改local类型的规则，例如将local all all trust改为local all all md5或仅允许特定用户。
• 验证配置效果：用非授权IP的机器执行连接命令psql -h <postgres-server-ip> -U <db-user> -d <db-name>，正常情况下会返回FATAL: no pg_hba.conf entry for host "<client-ip>", user "<db-user>", database "<db-name>", SSL off的错误提示。

内容的提问来源于stack exchange，提问作者user16821057