配置Pgbouncer强制TLS/SSL连接时遭遇CA加载失败错误求助

我尝试配置Pgbouncer，要求所有连接它的应用程序必须使用TLS/SSL连接，但启动时抛出错误：

FATAL TLS setup failed: failed to load CA

我的pgbouncer.ini配置如下：

[databases]
* = host=${postgres_host} port=5432
[pgbouncer]
# Do not change these settings:
listen_addr = 0.0.0.0
auth_file = /etc/pgbouncer/userlist.txt
auth_type = trust

client_tls_sslmode = require
client_tls_key_file = /etc/pgbouncer/server.key
client_tls_cert_file = /etc/pgbouncer/server.crt

server_tls_sslmode = verify-ca
server_tls_ca_file = /etc/root.crt.pem

# These are defaults and can be configured
# please leave them as defaults if you are
# uncertain.
listen_port = 5432
unix_socket_dir =
user = postgres
pool_mode = transaction
max_client_conn = 100
ignore_startup_parameters = extra_float_digits
admin_users = postgres
# Please add any additional settings below this line

即使我注释掉server_tls_sslmode = verify-ca，仍然会抛出相同的错误，我认为这不合理，因为按需求我并不需要CA根文件。

解决步骤 #

1. 检查CA文件的存在性与权限 #

报错直接指向CA文件加载失败，先做基础验证：

• 确认/etc/root.crt.pem文件真实存在，路径拼写无错误（注意大小写、后缀）
• 确保运行Pgbouncer的postgres用户有该文件的读取权限，执行以下命令调整：

  chmod 644 /etc/root.crt.pem
  chown postgres:postgres /etc/root.crt.pem
  

2. 按需简化TLS配置（匹配核心需求） #

你的核心需求是强制客户端用TLS连接Pgbouncer，而非验证后端Postgres的证书，因此可以调整server端TLS配置：

• 若不需要Pgbouncer与Postgres之间使用TLS，直接禁用：

  server_tls_sslmode = disable
  # 注释或删除server_tls_ca_file配置
  # server_tls_ca_file = /etc/root.crt.pem
  

• 若需要Pgbouncer与Postgres之间用TLS但无需验证证书，设置：

  server_tls_sslmode = prefer
  # 注释server_tls_ca_file
  # server_tls_ca_file = /etc/root.crt.pem
  

3. 检查Pgbouncer版本兼容性 #

部分旧版Pgbouncer在启用client_tls时可能存在隐含的CA文件依赖，可先查看当前版本：

pgbouncer -V

若版本较旧，建议升级到最新稳定版，或查阅对应版本的官方文档确认TLS配置逻辑。

4. 验证客户端证书链完整性 #

虽然报错指向CA文件，但也需确认/etc/pgbouncer/server.crt是否包含完整证书链（若证书由中间CA签发），缺失链文件可能触发间接的CA加载错误。

内容的提问来源于stack exchange，提问作者Domenico