如何让宿主机PostgreSQL接受Docker桥接网络连接且无需硬编码IP

不推荐直接允许172...*的原因 #

• Docker桥接网络的网段并非固定为172开头（自定义桥接可能使用192.168.x.x等其他私有网段），直接放行172.*范围过大，会给宿主机PostgreSQL带来不必要的安全风险。
• 即使当前是172网段，后续Docker网络配置变更时，规则可能失效，稳定性仍无法保障。

推荐的最佳实践方案 #

1. 固定Docker Compose桥接网络的子网，精准放行网段 #

在Docker Compose配置中自定义桥接网络的子网和网关，确保容器IP段固定，再在pg_hba.conf中放行该精准网段：

• 编辑docker-compose.yml，添加固定子网的网络配置：

  version: '3.8'
  services:
    your-app:
      # 你的应用配置
      networks:
        - app-network
  networks:
    app-network:
      driver: bridge
      ipam:
        config:
          - subnet: 172.22.0.0/24
            gateway: 172.22.0.1
  

• 编辑PostgreSQL的pg_hba.conf，添加对应网段的允许规则（根据你的认证方式调整，比如scram-sha-256）：

  host all all 172.22.0.0/24 scram-sha-256
  

• 重启PostgreSQL服务生效：sudo systemctl restart postgresql

2. 结合SSL证书认证提升安全性 #

如果需要更高的安全级别，可在精准网段限制的基础上，要求客户端通过SSL证书连接：

• 开启PostgreSQL的SSL功能（修改postgresql.conf中的ssl = on，并配置证书路径）
• 修改pg_hba.conf，仅允许SSL连接且来自指定网段：

  hostssl all all 172.22.0.0/24 cert
  

• 给容器内的应用配置对应的客户端证书，确保连接时携带证书验证。

3. 利用宿主机网卡的特定IP监听（可选） #

如果宿主机有固定的内网IP，可让PostgreSQL仅监听该IP，同时在pg_hba.conf中放行Docker桥接子网，进一步缩小暴露范围：

• 修改postgresql.conf中的listen_addresses为宿主机内网IP（比如192.168.1.100）
• 确保容器通过宿主机内网IP连接（替代host.docker.internal），配合上述固定子网的pg_hba规则。

内容的提问来源于stack exchange，提问作者Sebastian