PgSQL-安全加固实践-如何设置非全零监听

PgSQL-安全加固实践-如何设置非全零监听

1、介绍

PgSQL在启动前需要配置listen_addresses 配置项,该配置项表示允许PgSQL服务监听程序绑定的IP。我们知道一个host上可以有多个网卡,每个网卡可以绑定多个IP,该参数就是控制PgSQL服务绑定在哪个或者哪几个IP上。即控制服务使用哪个网络接口进行监听连接请求。对于网络接口而言,这样可以有效阻止大量恶意重复的连接。

2、问题

在高可用环境中,通常使用虚拟IP(VIP)作为向外服务的监听IP,当主机挂掉无法提供服务时,会动态将这个VIP切换到备机上,即备机绑定该IP,通过该监听IP向外提供服务。对于用户来说,是无感的,它仍旧使用该VIP来连接服务。VIP并不是在PgSQL启动时就已经绑定到本机网卡的。

PgSQL服务为使用VIP作为监听连接的IP,需要配置listen_addresses为"*"或者"0.0.0.0"即全链路监听。即监听本机所有网卡上的IP,这也就意味着易遭受恶意连接的风险。所以,需要进行安全加固,避免全零监听。

那么,PgSQL如何做到提前绑定VIP作为监听IP,即绑定一个本机不存在的IP呢?

3、PgSQL监听连接机制

由函数StreamServerPort函数完成绑定并监听的操作。SO_REUSEADDR标签表示允许同一个端口绑定多个不同的IP,即PgSQL的listen_addresses可以配置成多个IP形式:

listen_addresses= '10.200.89.123,10.200.89.124'

但是,当绑定一个非本地IP,即网卡没有绑定的IP时,bind函数会返回-1,即bind失败,报错errno为99:Cannot assign requested address

4、绑定非本地IP

1)需修改操作系统的配置/etc/sysctl.conf:

net.ipv4.ip_nonlocal_bind=1

该配置项默认是0,表示不允许服务绑定一个不存在的IP

2)重启机器。也可以不重启机器,通过命令sysctl -p使修改后的sysctl.conf生效

3)此时,PgSQL配置listen_addresses为VIP,即本机不存在的IP后,可以重启服务成功绑定该IP,并监听成功。

相关推荐
你的人类朋友7 小时前
什么是API签名?
前端·后端·安全
深盾安全12 小时前
ProGuard混淆在Android程序中的应用
安全
CYRUS_STUDIO12 小时前
利用 Linux 信号机制(SIGTRAP)实现 Android 下的反调试
android·安全·逆向
白帽黑客沐瑶17 小时前
【网络安全就业】信息安全专业的就业前景(非常详细)零基础入门到精通,收藏这篇就够了
网络·安全·web安全·计算机·程序员·编程·网络安全就业
深盾安全17 小时前
符号执行技术实践-求解程序密码
安全
树码小子18 小时前
Java网络编程:(socket API编程:TCP协议的 socket API -- 回显程序的服务器端程序的编写)
java·网络·tcp/ip
贾维思基18 小时前
被监管警告后,我连夜给系统上了“双保险”!
安全
绿箭柠檬茶19 小时前
Ubuntu 服务器配置转发网络访问
服务器·网络·ubuntu
00后程序员张19 小时前
iOS App 混淆与加固对比 源码混淆与ipa文件混淆的区别、iOS代码保护与应用安全场景最佳实践
android·安全·ios·小程序·uni-app·iphone·webview
real 120 小时前
传输层协议UDP
网络·网络协议·udp