PostgreSQL 安全加固实践: 如何设置非全零监听

1、介绍

PostgreSQL 在启动前需要配置 listen_addresses 配置项，该配置项表示允许 PostgreSQL 服务监听程序绑定的IP。我们知道一个host上可以有多个网卡，每个网卡可以绑定多个IP，该参数就是控制 PostgreSQL 服务绑定在哪个或者哪几个IP上。即控制服务使用哪个网络接口进行监听连接请求。对于网络接口而言，这样可以有效阻止大量恶意重复的连接。

2、问题

在高可用环境中，通常使用虚拟IP（VIP）作为向外服务的监听IP，当主机挂掉无法提供服务时，会动态将这个VIP切换到备机上，即备机绑定该IP，通过该监听IP向外提供服务。对于用户来说，是无感的，它仍旧使用该VIP来连接服务。VIP并不是在 PostgreSQL 启动时就已经绑定到本机网卡的。

PostgreSQL 服务为使用VIP作为监听连接的IP，需要配置 listen_addresses 为“*”或者“0.0.0.0”即全链路监听。即监听本机所有网卡上的IP，这也就意味着易遭受恶意连接的风险。所以，需