Ubuntu 上 PostgreSQL 连接问题的排查与修复
一 快速判断与定位
- 确认服务是否运行：执行sudo systemctl status postgresql，若未运行则sudo systemctl start postgresql；服务未起会直接导致连接失败。
- 区分本地套接字与 TCP 连接：
- 本地报错“No such file or directory … /var/run/postgresql/.s.PGSQL.5432”多为套接字路径不匹配或未创建；可用netstat -nlp | grep postgres查看实际监听的套接字路径（如**/tmp/.s.PGSQL.5432或/var/run/postgresql/.s.PGSQL.5432**）。
- 远程报错“connection to server at “x.x.x.x”, port 5432 failed … no pg_hba.conf entry … no encryption”多为未放行客户端网段或认证方式不匹配。
- 检查端口监听：执行sudo ss -lntp | grep 5432或netstat -nltp | grep 5432，确认是否在0.0.0.0:5432或127.0.0.1:5432监听。
- 查看日志：到**/var/log/postgresql/目录查看对应版本的postgresql-*.log**，能直接定位配置、权限或启动失败原因。
二 本地连接失败的处理
- 套接字路径不一致（常见于第三方包或自定义编译）：
- 方案 A：用 TCP 方式连接以绕过套接字，例如psql -U postgres -h localhost -p 5432。
- 方案 B：将实际套接字目录软链到客户端期望目录，例如sudo ln -s /tmp/.s.PGSQL.5432 /var/run/postgresql/.s.PGSQL.5432。
- 方案 C：在postgresql.conf中统一unix_socket_directories（如设为**/tmp或/var/run/postgresql**），然后重启。
- 服务未启动或异常退出：查看**/var/log/postgresql/日志，修复配置或权限后sudo systemctl restart postgresql**。
- SSL 密钥权限错误：若日志出现“private key file … has group or world access”，执行：
- sudo chown postgres:postgres /etc/ssl/private/ssl-cert-snakeoil.key
- sudo chmod 640 /etc/ssl/private/ssl-cert-snakeoil.key
- 再重启服务。
三 远程连接失败的处理
- 修改postgresql.conf：将listen_addresses = ‘*’（或指定服务器IP），允许监听非本地地址。
- 修改pg_hba.conf：在文件末尾按需添加规则，例如：
- 允许某网段密码认证：host all all 192.168.1.0/24 md5
- 允许任意 IPv4 密码认证（仅测试环境）：host all all 0.0.0.0/0 md5
- 如需加密，使用hostssl并将认证设为scram-sha-256或md5（客户端需支持）。
- 重启生效：sudo systemctl restart postgresql。
- 防火墙放行：
- UFW：sudo ufw allow 5432/tcp
- iptables：sudo iptables -A INPUT -p tcp --dport 5432 -j ACCEPT
- 云服务器安全组：在控制台放行TCP 5432入站。
- 客户端连通性测试：
- 端口可达：nc -vz <服务器IP> 5432 或 telnet <服务器IP> 5432
- 若仅本机能连而远程不通，通常是listen_addresses未改或防火墙/安全组未放行。
四 常见错误对照与修复要点
| 错误信息或现象 |
主要原因 |
修复要点 |
| “No such file or directory … /var/run/postgresql/.s.PGSQL.5432” |
套接字目录不一致或未创建 |
用**-h localhost走 TCP；或软链/tmp/.s.PGSQL.5432到/var/run/postgresql**；或在postgresql.conf统一unix_socket_directories并重启 |
| “FATAL: private key file … has group or world access” |
SSL 密钥权限过宽 |
将密钥属主设为postgres:postgres，权限640，重启服务 |
| “no pg_hba.conf entry for host … no encryption” |
客户端网段未授权或未启用加密 |
在pg_hba.conf添加对应网段规则；必要时改用hostssl与scram-sha-256；重启服务 |
| 端口不通或被拒 |
监听地址仅本地或防火墙阻断 |
将listen_addresses改为**‘*’；放行5432/tcp**（UFW/iptables/安全组）；确认监听在0.0.0.0:5432 |
| 服务未运行 |
未启动或启动失败 |
systemctl status/start postgresql；查看**/var/log/postgresql/**日志定位原因并重试 |
五 安全与最佳实践
- 生产环境避免使用0.0.0.0/0，按最小权限开放到指定CIDR网段。
- 优先使用SCRAM-SHA-256认证，禁用明文或弱认证；远程连接尽量走SSL/TLS。
- 仅开放必要端口与来源，配合UFW/iptables/云安全组分层防护。
- 修改postgresql.conf/pg_hba.conf后务必重启并复核日志，确保规则生效且无报错。