确认pg_hba.conf规则有效性：是否仅允许本地及指定IP访问PostgreSQL？

嘿，咱们来好好捋捋这个问题！你的核心需求是只允许localhost和111.121.10.32访问PostgreSQL服务器，这个思路本身是对的，但能不能实现完全看你的配置细节和配套设置有没有做到位，咱们一步步说：

正确配置的关键细节 #

要确保只有指定IP能访问，你得注意pg_hba.conf的几个核心规则：

• pg_hba.conf的条目是按顺序匹配的，所以一定要把允许访问的规则放在前面，最后加一条兜底的拒绝规则，避免漏网之鱼
• 针对localhost的访问，要覆盖IPv4和IPv6（如果你的环境用得到的话），配置示例：

  host    all             all             127.0.0.1/32            scram-sha-256
  host    all             all             ::1/128                 scram-sha-256
  

• 针对111.121.10.32的单独授权，配置要精准到单个IP：

  host    all             all             111.121.10.32/32        scram-sha-256
  

• 最后必须加上拒绝所有其他IP的规则，这是确保“其他IP无法访问”的关键：

  host    all             all             0.0.0.0/0               reject
  host    all             all             ::/0                    reject
  

容易忽略的配套设置 #

光改pg_hba.conf还不够，这两个地方也得注意：

• 检查postgresql.conf里的listen_addresses参数：如果要允许外部IP（111.121.10.32）访问，不能只设成localhost，得改成*或者明确列出127.0.0.1,111.121.10.32，不然PostgreSQL根本不会监听外部请求，pg_hba.conf再宽松也没用
• 配置修改后必须重新加载服务：用pg_ctl reload命令或者通过系统服务管理工具（比如systemctl reload postgresql）重启配置，不然新规则不会生效
• 别忘了防火墙：不管是服务器本地的iptables/ufw，还是云服务商的安全组，都要确保只开放5432端口给localhost和111.121.10.32，不然防火墙会先把其他IP的请求拦下来

对你理解的验证 #

你的核心思路——通过pg_hba.conf来限制仅特定主机/IP访问PostgreSQL——是完全正确的，但要把上面的细节都做到位，才能真正实现“其他IP均无法访问”的效果。你可以用其他机器尝试连接，或者在本地用psql -h <非授权IP> -U <用户名>来测试，正常情况下应该会被拒绝连接。

内容的提问来源于stack exchange，提问作者Ratatouille