pgsql使用OpenSSL添加ssl加密

最新推荐文章于 2025-04-09 08:00:00 发布

zhangjikuan

最新推荐文章于 2025-04-09 08:00:00 发布

阅读量2.2k

点赞数 2

CC 4.0 BY-SA版权

分类专栏： postgresql 文章标签： postgresql pg openssl ssl 加密

本文链接：https://blog.youkuaiyun.com/zhangjikuan/article/details/95643788

postgresql 专栏收录该内容

4 篇文章

订阅专栏

博客介绍了PostgreSQL使用OpenSSL实现SSL加密的配置方法。包括服务端生成签名key、删除passphrase、自签名证书、修改权限和参数、重启数据库等操作，还可设置强制使用或不使用SSL连接；客户端需有OpenSSL包并可设置SSL使用情况，且只需在主库创建相关文件。

openssl.md

服务端

查看当前目录 openssl version -d
生成签名的key

openssl req -new -text -out server.req -subj '/C=CN/ST=Zhejiang/L=Hangzhou/O=dbpaas/CN=dbpaas-ip-port' -passout pass:'xxx'

    -passourt  意思是对输出文件的加密密码

删除passphrase

openssl rsa -in privkey.pem -out server.key  -passin pass:'xxx'
        -passin  这里是设置输入文件需要的密码
rm -f privkey.pem

turn the certificate into a self-signed certificate and to copy the key and certificate to where the server will look for them

openssl req -x509 -in server.req -text -key server.key -out server.crt

修改权限

chmod 600 server.key

拷贝

mv -f server.crt server.key $PGDATA

修改参数

ssl = on 
ssl_cert_file = 'server.crt'              # (change requires restart)
ssl_key_file = 'server.key' 

下面的不用改，pg默认
ssl_ciphers = 'DEFAULT:!LOW:!EXP:!MD5:@STRENGTH'        # allowed SSL ciphers
                                            # (change requires restart)
ssl_renegotiation_limit = 512MB   # amount of data between renegotiations

重启数据库

pg_ctl restart -m fast

会有 SSL connection (cipher: DHE-RSA-AES256-SHA, bits: 256)

用ssl插件 sslinfo 查看ssl相关信息

create extension sslinfo;
    CREATE EXTENSION
digoal=# select ssl_is_used();
 ssl_is_used 
-------------
 t
(1 row)
digoal=# select ssl_cipher();
     ssl_cipher     
--------------------
 DHE-RSA-AES256-SHA
(1 row)
digoal=# select ssl_version();
 ssl_version 
-------------
 TLSv1
(1 row)

可以设置pg_hba.conf强制使用ssl连接数据库
- 把以前的host改为hostssl这就是强制客户端使用ssl连接 eg: hostssl all all 0.0.0.0/0 md5
- 使用host的话优先使用ssl认证
- hostnossl 强制不使用ssl

客户端

客户端也要有openssl包，然后客户端可以设置强制使用还是不使用ssl

psql "sslmode=require" -h 172.16.3.33 -p 1999 -U postgres -d pg

psql "sslmode=disable" -h 172.16.3.33 -p 1999 -U postgres -d pg

注意

只在主库上创建就好了，只要用到basebackup的都会拷贝相关的这两个文件

参考: https://github.com/digoal/blog/blob/master/201305/20130522_01.md https://www.jianshu.com/p/15b1d935a44b