postgresql默认拒绝远程连接是安全设计，需同时修改postgresql.conf的listen_addresses、pg_hba.conf认证规则、设置postgres密码并开放防火墙5432端口；确认监听地址用show listen_addresses;或查配置文件中listen_addresses值，默认为'localhost'仅响应本地连接。
PostgreSQL 在 Linux 上默认拒绝远程连接，且 postgres 用户无密码 —— 这不是 bug，是安全设计。想让其他机器连上它，必须同时改两处配置、设密码、开防火墙端口，缺一不可。
怎么确认 PostgreSQL 正在监听本地还是所有地址？
关键看 postgresql.conf 里的 listen_addresses 参数。默认值通常是 'localhost' 或被注释掉，这意味着只响应 127.0.0.1 的连接请求。
要支持远程访问，必须显式设为：
listen_addresses = '*,localhost'
或更严格的：
listen_addresses = '192.168.1.100,127.0.0.1'
注意：* 表示监听所有 IPv4 接口（不包括 IPv6），但不会自动开放系统防火墙；修改后需 reload 或 restart 服务才生效：
-
sudo systemctl reload postgresql-15（推荐，不中断已有连接） -
sudo systemctl restart postgresql-15（强制重启）
为什么改了 listen_addresses 还是连不上？
因为 pg_hba.conf 拒绝了来源 IP 的认证请求。这个文件控制“谁能在什么网络条件下用什么方式登录”，优先级高于 postgresql.conf。
常见错误配置：
- 只写了
host all all 127.0.0.1/32 md5→ 只允许本机 - 漏写子网掩码，比如写成
192.168.1.100 md5→ 语法错误，PostgreSQL 启动失败 - 用了
trust但没配密码 → 客户端可能因协议不匹配拒绝连接
正确添加一行允许局域网连接（例如 192.168.1.0/24）：
host all all 192.168.1.0/24 md5
若需公网暴露（不推荐），可写：
host all all 0.0.0.0/0 md5
改完必须 reload 配置：sudo systemctl reload postgresql-15
Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...
如何给 postgres 用户设置密码并验证？
安装后 postgres 系统用户默认无数据库密码，psql 登录靠的是系统级信任（peer 或 ident 认证），这在远程场景下无效。
必须切换到 postgres 用户，在 psql 内执行：
sudo -u postgres psql -c "ALTER USER postgres PASSWORD 'your_strong_password';"
注意点：
- 密码必须用单引号包裹，否则 shell 会报错
- 不要用空格、反斜杠、$ 等易被 shell 解析的字符，或改用双引号 + 转义
- 改完无需重启，密码立即生效
验证是否生效：
psql -h 192.168.1.100 -U postgres -d postgres
会提示输入密码；输错则报错 password authentication failed for user "postgres"。
CentOS/RHEL 和 Ubuntu 的配置路径为什么总不一样？
因为包管理器不同，数据目录和配置路径由发行版打包策略决定，不是 PostgreSQL 自身逻辑差异。
典型路径对照：
- Ubuntu/Debian：
/etc/postgresql/*/main/pg_hba.conf、/etc/postgresql/*/main/postgresql.conf - CentOS/RHEL/Rocky（yum/dnf 安装）：
/var/lib/pgsql/*/data/pg_hba.conf、/var/lib/pgsql/*/data/postgresql.conf - 源码编译安装：
/usr/local/pgsql*/data/下
找不到文件时，先查服务状态：systemctl status postgresql-15，输出里常带启动参数如 -D /var/lib/pgsql/15/data，那个 -D 后面就是数据目录，配置文件就在里面。
防火墙也得同步放开：CentOS 用 sudo firewall-cmd --add-port=5432/tcp --permanent && sudo firewall-cmd --reload；Ubuntu 用 sudo ufw allow 5432。
最常被跳过的一步：改完所有配置后忘记 reload。PostgreSQL 不会热加载 pg_hba.conf 或 postgresql.conf，不 reload 就等于没改。
